Mentre leggi, dei programmi automatici stanno probabilmente "bussando" alle porte del tuo sito, cercando pagine e file dimenticati. È la normalità del web. Capire come avvengono questi tentativi — e come si verifica davvero la sicurezza — è il primo passo per difendersi.
Forced browsing: indovinare URL nascosti
Il "forced browsing" consiste nel provare automaticamente indirizzi non collegati da nessuna parte — pannelli di amministrazione, backup, file di configurazione — sperando che qualcuno sia rimasto accessibile. I crawler malevoli lo fanno a tappeto.
Perché le "pagine dimenticate" sono un rischio
Un vecchio file di test, un backup lasciato online, una pagina di amministrazione non protetta: sono porte aperte che il proprietario ha dimenticato, ma che gli automatismi trovano. La sicurezza è anche ordine e pulizia.
Penetration testing attivo
Il forced browsing automatico è solo la superficie. Il penetration testing è una verifica seria e mirata: un professionista simula un vero attacco per scoprire e chiudere le vulnerabilità prima che lo faccia qualcuno in malafede.
Difesa in profondità
Nessuna misura basta da sola. Le pratiche di questa serie — path containment, rate limiting, hash delle password — funzionano insieme, a strati.
Perché l'autorizzazione sta sul server
Nascondere un link non protegge nulla: un URL non elencato è comunque raggiungibile, e strumenti automatici provano migliaia di percorsi comuni in pochi minuti. L'unica difesa è che ogni endpoint verifichi i permessi a ogni richiesta, indipendentemente da come ci si è arrivati - compresi gli identificatori nell'URL, che vanno controllati contro l'utente autenticato e non solo letti. Il penetration testing serve proprio a trovare i punti in cui il server si è fidato dell'interfaccia.