La sicurezza delle web app, spiegata

Content-Security-Policy (CSP): cos'è e come aggiungerla

L'header che impedisce l'esecuzione degli script iniettati.

HTTP Strict Transport Security (HSTS) spiegato

Obbliga ogni connessione a usare HTTPS, anche la prima.

Clickjacking e X-Frame-Options: tieni le tue pagine fuori dagli iframe

Un header impedisce ai malintenzionati di sovrapporre la tua app dentro un iframe.

MIME sniffing e X-Content-Type-Options: nosniff spiegato

Un header impedisce ai browser di indovinare i tipi di contenuto ed eseguire file caricati come script.

Configurazioni errate

File .env esposti: come i malintenzionati trovano i tuoi secret

Un solo .env raggiungibile può consegnare l'intero stack.

Configurazione CORS errata: le trappole del wildcard e della riflessione

Consenti ogni origine e qualsiasi sito potrà leggere la tua API.

Le source map in produzione fanno trapelare il tuo codice sorgente

I file .map distribuiti consegnano il tuo codice sorgente originale.

Directory .git esposta: la fuga di codice sorgente nascosta in bella vista

Una /.git raggiungibile consegna l'intero codebase e la cronologia dei commit.

Backup del database esposti: cosa succede quando /backup.sql è raggiungibile

Un dump .sql raggiungibile equivale a consegnare l'intero database.

Secret esposti

API key esposte nel JavaScript lato client

Tutto ciò che è nel tuo bundle è pubblico. Trattalo come tale.

Sicurezza DNS ed email

Subdomain takeover: come avviene e come prevenirlo

Un CNAME orfano è una porta aperta sul tuo dominio.

SPF e DMARC: ferma la contraffazione delle email dal tuo dominio

Impedisci ai malintenzionati di inviare email al mondo a tuo nome.

Sicurezza dei cookie

I flag dei cookie Secure, HttpOnly e SameSite

Tre flag che impediscono il furto dei cookie di sessione.

Catena di redirect

Perché il tuo sito ha bisogno di un redirect HTTP→HTTPS

Non lasciare aperta la porta non sicura.

Sicurezza del database

Supabase Row Level Security (RLS): proteggi le tue tabelle

La tua anon key è pubblica. La RLS è l'unica cosa tra lei e i tuoi dati.

Firebase Security Rules: smetti di lasciare aperto il tuo database

La tua config Firebase è pubblica per design. Sono le regole a decidere chi vede i dati.

Gestione di file, percorsi e risorse

Indici di directory aperti: quando il tuo file server elenca tutto

Un file server che elenca il proprio contenuto regala agli attaccanti un inventario gratuito.

Gestione degli errori e resilienza

Pagine di errore dettagliate e stack trace in produzione

Uno stack trace dice agli attaccanti esattamente dove mirare.

Sicurezza delle API

Introspection GraphQL pubblica: perché è un problema e come disattivarla

Una sola query restituisce l'intero schema. Disattivala in produzione.

Protocollo HTTP e richieste lato server