Sicurezza · Server
Manutenzione del sito: cosa paghi davvero, e cosa rischi senza
Molti rinunciano alla manutenzione perché sembra un costo per niente: il sito c'è, funziona, perché pagare ancora? Perché un sito è software, gira su altro software, il server, e il software invecchia anche se nessuno lo tocca.
Le cose da aggiornare sono due, non una
La prima è il sito: il sistema con cui è fatto, i plugin, il tema. La seconda è il server su cui il sito gira: di solito una macchina virtuale, un computer in affitto in un centro dati, con il suo sistema operativo e i suoi programmi. Quando si parla di manutenzione si pensa al sito. Il server, quasi sempre, lo dimenticano tutti.
Perché un sito fermo diventa pericoloso
Ogni settimana vengono scoperte e rese pubbliche nuove falle di sicurezza nei programmi più diffusi. Da quel momento, programmi automatici girano per internet a cercare chi non ha ancora aggiornato. Non scelgono te: provano tutti, giorno e notte. Un sito non aggiornato non è un bersaglio, è un'occasione.
Nei siti che analizziamo, tra quelli fatti con WordPress 71 su 100 avevano il sistema o qualche plugin non aggiornato.
Il rischio più grande: il server lasciato a sé
Gli aggiornamenti automatici di sicurezza del sistema operativo si attivano in pochi minuti. Eppure pochi lo fanno: sui server che ci capita di riprendere in mano li troviamo quasi sempre spenti, a volte da anni. Un server così è la porta d'ingresso più comoda, più ancora del sito.
Cosa fa chi entra: di solito, mina criptovalute
Chi entra in un server di una piccola attività di solito non cerca i tuoi dati. Cerca la potenza di calcolo: installa un programma che mina criptovalute per lui, e il tuo server lavora giorno e notte per qualcun altro. Te ne accorgi perché il sito diventa lentissimo, o perché il fornitore sospende la macchina. A volte il server viene usato anche per mandare spam o attaccare altri siti, e allora il tuo dominio finisce nelle liste nere e anche le tue email normali cominciano ad arrivare nello spam.
Cosa comprende una manutenzione seria
- Aggiornamenti di sicurezza del server automatici, e controllati.
- Aggiornamenti del sito, provati prima di metterli online.
- Copie di sicurezza regolari, conservate fuori dal server, e provate: una copia che non si riesce a ripristinare non serve.
- Rinnovo del dominio e del certificato HTTPS prima che scadano.
- Un controllo che il sito risponda, con un avviso se smette.
È quello che facciamo per i siti che gestiamo: server, dominio e aggiornamenti li seguiamo noi, e gli accessi restano comunque a te.
Se la manutenzione non la vuoi
È una scelta legittima, ma fatta sapendo cosa comporta. Il minimo indispensabile: aggiornamenti automatici di sicurezza accesi sul server, copie di sicurezza fuori dal server, e tutti gli accessi in mano tua, così se qualcosa va storto qualcuno può intervenire. Ne parliamo anche in Chi ti fa il sito: le domande da fare.