CORS: chi può leggere la risposta (non chi può chiamare l'API)
CORS è un header di risposta. Dice quale origin può leggere. Non chiude l'endpoint. Il jolly non sta con i cookie. Il preflight è un OPTIONS. Un plugin «enable CORS» non ...
Insight per la crescita digitale
Tag: sicurezza
8 articoli
Approfondimenti recenti
Subresource Integrity: l'hash che TLS non calcola
HTTPS dice con quale server parli. Non dice se il file del CDN è ancora quello. SRI è l'hash sull'elemento. Senza crossorigin, la richiesta cross-origin fallisce.
Mixed content: la pagina è in HTTPS, le dipendenze no
Il lucchetto sulla home non basta. Mixed content è una pagina HTTPS che pesca HTTP. Immagini auto-promosse, script bloccati. Il plugin «forza HTTPS» non riscrive il HTML.
Cookie Secure, HttpOnly, SameSite: quello che il banner non imposta
Il banner chiede un consenso. Non mette HttpOnly sulla sessione. Secure, HttpOnly e SameSite si spediscono nell’header di risposta. SameSite=None richiede Secure.
HSTS: l'header che il plugin «forza HTTPS» non sostituisce
Il plugin che forza HTTPS è un redirect. HSTS è un header. Si spedisce in HTTPS, con una rampa di max-age. Il preload non è un default da CMS.
Content-Security-Policy: l'header che i plugin anti-XSS non sostituiscono
La CSP è un header HTTP, non un plugin. Dice al browser da dove può caricare gli script. Report-Only prima, enforcement dopo. unsafe-inline la svuota. Un overlay anti-XSS...
DDoS: cosa può fare l'hosting e cosa resta a te
Il DDoS non è un unico problema. Volume in rete e richieste HTTP 'legali' ma tossiche si affrontano su piani diversi. L'hosting copre il primo. Il secondo è tuo.
WAF: cosa blocca e cosa non può risolvere
Il WAF è un filtro, non una toppa sul codice. Serve quando sai cosa vuoi bloccare. Non serve come scusa per non patchare.
Hai bisogno di scegliere una webagency per il tuo progetto?
Abbiamo la soluzione giusta
- Consulenza specializzata
- Soluzioni su misura
- Risultati concreti