Sec-Fetch-User: ?1 (non è CORS, non è il banner)
Sec-Fetch-User è un header di richiesta. Il browser lo scrive solo se c’è un’attivazione dell’utente, valore sempre ?1. Non è CORS. Non è il banner cookie.
Insight per la crescita digitale
Sicurezza
Approfondimenti recenti
Sec-Fetch-Dest: image (non è CORS, non è il banner)
Sec-Fetch-Dest è un header di richiesta. Il browser dice se la risorsa è document, image, script o empty. Non è CORS. Non è il banner cookie.
Sec-Fetch-Mode: navigate (non è CORS, non è il banner)
Sec-Fetch-Mode è un header di richiesta. Il browser dice se la chiamata è navigate, cors, no-cors, same-origin o websocket. Non è CORS. Non è il banner cookie.
Sec-Fetch-Site: same-origin (non è CORS, non è il banner)
Sec-Fetch-Site è un header di richiesta. Il browser dice se la chiamata è same-origin, same-site, cross-site o none. Non è CORS. Non è il banner cookie.
Clear-Site-Data: le virgolette (non è il banner cookie)
Clear-Site-Data è un header di risposta. Dice al browser di cancellare cache, cookie o storage. Le direttive vanno tra doppi apici. Non è il banner cookie. Non è Cache-Co...
Cross-Origin-Resource-Policy: same-origin (non è CORS, non è COEP)
Cross-Origin-Resource-Policy è un header di risposta della risorsa. Dice chi può caricarla in no-cors. same-origin, same-site o cross-origin. Non è CORS. Non è COEP. Il b...
Cross-Origin-Embedder-Policy: require-corp (non è CORS, non è COOP)
Cross-Origin-Embedder-Policy è un header di risposta. Dice se il documento può caricare risorse no-cors. require-corp chiede CORP. Non è CORS. Non è COOP. Il banner cooki...
Cross-Origin-Opener-Policy: same-origin (non è CORS, non è il banner)
Cross-Origin-Opener-Policy è un header di risposta. Dice se la pagina condivide il browsing context group. same-origin isola. Non è CORS. Il banner cookie non lo imposta.
X-Frame-Options: DENY o SAMEORIGIN (non è frame-ancestors, non è il banner)
X-Frame-Options è un header di risposta. Dice se la pagina può finire in un iframe. DENY o SAMEORIGIN. ALLOW-FROM è obsoleto. Non è frame-ancestors. Il banner cookie non ...
X-Content-Type-Options: nosniff (non è la CSP, non è il banner)
X-Content-Type-Options è un header di risposta. Dice al browser di rispettare i MIME in Content-Type. nosniff è l'unico valore. Non è la CSP. Il banner cookie non lo impo...
Permissions-Policy: camera e geolocalizzazione (non il banner cookie)
Permissions-Policy è un header di risposta. Dice quali funzioni — camera, microfono, geolocalizzazione — la pagina e gli iframe possono usare. camera=() le spegne. Non è ...
Referrer-Policy: cosa finisce nell'header Referer (non nel banner cookie)
Referrer-Policy è un header di risposta. Dice cosa della URL può finire in Referer. Il default è strict-origin-when-cross-origin. unsafe-url non si usa. Il banner cookie ...
CORS: chi può leggere la risposta (non chi può chiamare l'API)
CORS è un header di risposta. Dice quale origin può leggere. Non chiude l'endpoint. Il jolly non sta con i cookie. Il preflight è un OPTIONS. Un plugin «enable CORS» non ...
Subresource Integrity: l'hash che TLS non calcola
HTTPS dice con quale server parli. Non dice se il file del CDN è ancora quello. SRI è l'hash sull'elemento. Senza crossorigin, la richiesta cross-origin fallisce.
Mixed content: la pagina è in HTTPS, le dipendenze no
Il lucchetto sulla home non basta. Mixed content è una pagina HTTPS che pesca HTTP. Immagini auto-promosse, script bloccati. Il plugin «forza HTTPS» non riscrive il HTML.
Cookie Secure, HttpOnly, SameSite: quello che il banner non imposta
Il banner chiede un consenso. Non mette HttpOnly sulla sessione. Secure, HttpOnly e SameSite si spediscono nell’header di risposta. SameSite=None richiede Secure.
HSTS: l'header che il plugin «forza HTTPS» non sostituisce
Il plugin che forza HTTPS è un redirect. HSTS è un header. Si spedisce in HTTPS, con una rampa di max-age. Il preload non è un default da CMS.
Content-Security-Policy: l'header che i plugin anti-XSS non sostituiscono
La CSP è un header HTTP, non un plugin. Dice al browser da dove può caricare gli script. Report-Only prima, enforcement dopo. unsafe-inline la svuota. Un overlay anti-XSS...
SPF, DKIM, DMARC: perché le email del sito finiscono in spam
SPF, DKIM e DMARC non sono tre plugin. Sono tre record DNS. Gmail, dal 2024, li pretende. Un form che «non arriva» di solito non è il form: è un TXT mancante, o due TXT d...
Certificati TLS: la checklist minima sul transito
Avere un certificato non è 'essere sicuri'. Contano il redirect, il rinnovo, HSTS e il mixed content che resta in pagina.
Hai bisogno di scegliere una webagency per il tuo progetto?
Abbiamo la soluzione giusta
- Consulenza specializzata
- Soluzioni su misura
- Risultati concreti