Pubblicato il: 02/10/2026
Sec-Fetch-User: ?1 (non è CORS, non è il banner)
Sec-Fetch-User è un header di richiesta. Il browser lo scrive solo se c’è un’attivazione dell’utente, valore sempre ?1. Non è CORS. Non è il banner co...
Sicurezza
Pubblicato il: 01/10/2026
Sec-Fetch-Dest: image (non è CORS, non è il banner)
Sec-Fetch-Dest è un header di richiesta. Il browser dice se la risorsa è document, image, script o empty. Non è CORS. Non è il banner cookie.
Pubblicato il: 30/09/2026
Sec-Fetch-Mode: navigate (non è CORS, non è il banner)
Sec-Fetch-Mode è un header di richiesta. Il browser dice se la chiamata è navigate, cors, no-cors, same-origin o websocket. Non è CORS. Non è il banne...
Pubblicato il: 29/09/2026
Sec-Fetch-Site: same-origin (non è CORS, non è il banner)
Sec-Fetch-Site è un header di richiesta. Il browser dice se la chiamata è same-origin, same-site, cross-site o none. Non è CORS. Non è il banner cooki...
Pubblicato il: 28/09/2026
Clear-Site-Data: le virgolette (non è il banner cookie)
Clear-Site-Data è un header di risposta. Dice al browser di cancellare cache, cookie o storage. Le direttive vanno tra doppi apici. Non è il banner co...
Pubblicato il: 27/09/2026
Cross-Origin-Resource-Policy: same-origin (non è CORS, non è COEP)
Cross-Origin-Resource-Policy è un header di risposta della risorsa. Dice chi può caricarla in no-cors. same-origin, same-site o cross-origin. Non è CO...
Pubblicato il: 26/09/2026
Cross-Origin-Embedder-Policy: require-corp (non è CORS, non è COOP)
Cross-Origin-Embedder-Policy è un header di risposta. Dice se il documento può caricare risorse no-cors. require-corp chiede CORP. Non è CORS. Non è C...
Pubblicato il: 25/09/2026
Cross-Origin-Opener-Policy: same-origin (non è CORS, non è il banner)
Cross-Origin-Opener-Policy è un header di risposta. Dice se la pagina condivide il browsing context group. same-origin isola. Non è CORS. Il banner co...
Pubblicato il: 24/09/2026
X-Frame-Options: DENY o SAMEORIGIN (non è frame-ancestors, non è il banner)
X-Frame-Options è un header di risposta. Dice se la pagina può finire in un iframe. DENY o SAMEORIGIN. ALLOW-FROM è obsoleto. Non è frame-ancestors. I...
Pubblicato il: 23/09/2026
X-Content-Type-Options: nosniff (non è la CSP, non è il banner)
X-Content-Type-Options è un header di risposta. Dice al browser di rispettare i MIME in Content-Type. nosniff è l'unico valore. Non è la CSP. Il banne...
Pubblicato il: 22/09/2026
Permissions-Policy: camera e geolocalizzazione (non il banner cookie)
Permissions-Policy è un header di risposta. Dice quali funzioni — camera, microfono, geolocalizzazione — la pagina e gli iframe possono usare. camera=...
Pubblicato il: 21/09/2026
Referrer-Policy: cosa finisce nell'header Referer (non nel banner cookie)
Referrer-Policy è un header di risposta. Dice cosa della URL può finire in Referer. Il default è strict-origin-when-cross-origin. unsafe-url non si us...
Pubblicato il: 20/09/2026
CORS: chi può leggere la risposta (non chi può chiamare l'API)
CORS è un header di risposta. Dice quale origin può leggere. Non chiude l'endpoint. Il jolly non sta con i cookie. Il preflight è un OPTIONS. Un plugi...
Pubblicato il: 19/09/2026
Subresource Integrity: l'hash che TLS non calcola
HTTPS dice con quale server parli. Non dice se il file del CDN è ancora quello. SRI è l'hash sull'elemento. Senza crossorigin, la richiesta cross-orig...
Pubblicato il: 18/09/2026
Mixed content: la pagina è in HTTPS, le dipendenze no
Il lucchetto sulla home non basta. Mixed content è una pagina HTTPS che pesca HTTP. Immagini auto-promosse, script bloccati. Il plugin «forza HTTPS» n...
Pubblicato il: 17/09/2026
Cookie Secure, HttpOnly, SameSite: quello che il banner non imposta
Il banner chiede un consenso. Non mette HttpOnly sulla sessione. Secure, HttpOnly e SameSite si spediscono nell’header di risposta. SameSite=None rich...
Pubblicato il: 16/09/2026
HSTS: l'header che il plugin «forza HTTPS» non sostituisce
Il plugin che forza HTTPS è un redirect. HSTS è un header. Si spedisce in HTTPS, con una rampa di max-age. Il preload non è un default da CMS.
Pubblicato il: 15/09/2026
Content-Security-Policy: l'header che i plugin anti-XSS non sostituiscono
La CSP è un header HTTP, non un plugin. Dice al browser da dove può caricare gli script. Report-Only prima, enforcement dopo. unsafe-inline la svuota....
Pubblicato il: 14/09/2026
SPF, DKIM, DMARC: perché le email del sito finiscono in spam
SPF, DKIM e DMARC non sono tre plugin. Sono tre record DNS. Gmail, dal 2024, li pretende. Un form che «non arriva» di solito non è il form: è un TXT m...
Pubblicato il: 09/09/2026
Certificati TLS: la checklist minima sul transito
Avere un certificato non è 'essere sicuri'. Contano il redirect, il rinnovo, HSTS e il mixed content che resta in pagina.