Hosting, domini e sicurezza

Hosting scelto sul carico reale

Domini, certificati e configurazione

Backup, monitoraggio e risposta

La sicurezza non è un plugin

Documentare per non dipendere

Quando migrare

01A chi serve questo servizio

• A chi ha un sito online e non sa chi gestisce dominio, certificati e backup.
• A chi cambia fornitore e teme di perdere posta, pagine o posizioni.
• A chi vuole capire se l’hosting attuale è adeguato prima di spendere in pubblicità.

Hosting, domini e sicurezza diventano un problema quando qualcosa si rompe: il sito non risponde, il certificato scade, la posta non arriva, il dominio va in rinnovo e nessuno se ne accorge. In quel momento conta avere informazioni ordinate e una persona che risponde, non un pannello con cinquanta voci.

Questo servizio serve a mettere in ordine la parte infrastrutturale, che nessuno vede ma tutti usano. Non è il servizio più visibile di un’agenzia; è quello che evita le notti peggiori. Lo trattiamo come manutenzione seria, con documentazione e prove, non come un accessorio.

02Le ricerche di chi cerca hosting e sicurezza

Le ricerche sono molto concrete: «hosting WordPress affidabile», «chi gestisce il dominio», «costo certificato SSL», «sito hackerato cosa fare», «backup sito automatico». Chi cerca ha spesso un problema già in corso oppure sta per cambiare fornitore e vuole capire cosa chiedere.

Le pagine che scriviamo rispondono a queste domande senza vendere un piano specifico a chiunque. Spieghiamo come si valuta un hosting, quali domande fare, cosa deve essere documentato e quali errori trasformano un problema piccolo in un’emergenza. La scelta del fornitore viene dopo.

Il lavoro copre l’intera catena: dominio, DNS, certificati, hosting, posta, backup, monitoraggio e protezione. Non tutti i progetti hanno bisogno di tutto, ma ogni voce deve avere un responsabile e una scadenza nota.

Scelta e configurazione dell’hosting

Valutazione del carico, dei requisiti tecnici e dell’assistenza, con configurazione dell’ambiente e delle risorse.

Analisi del carico e dei requisiti

Traffico, picchi, spazio, database, versioni di PHP o Node e necessità di ambiente di prova.

Confronto tra piani e fornitori

Lettura dei limiti reali, delle politiche di assistenza e dei costi di rinnovo, non solo del primo anno.

Configurazione iniziale

Ambiente, utenze, posta, certificati, redirect e impostazioni di base documentate.

Ambiente di prova

Copia separata per provare aggiornamenti e modifiche senza toccare il sito pubblico.

Domini e DNS

Registrazione, trasferimento e gestione dei record, con attenzione a posta e sottodomini.

Verifica della titolarità

Controllo che il dominio sia registrato al cliente e che i contatti siano aggiornati.

Gestione dei record DNS

Record A, CNAME, MX, TXT e verifiche, con annotazione di cosa serve a cosa.

Redirect e sottodomini

Regole per www, versioni senza www, domini storici e servizi collegati.

Rinnovo e scadenze

Rinnovo automatico verificato, con avvisi prima della scadenza e un responsabile dichiarato.

Certificati e HTTPS

Certificati validi, rinnovo automatico e configurazione corretta per evitare avvisi nel browser.

Emissione e installazione

Certificato adatto al dominio e ai sottodomini, con verifica della catena.

Rinnovo automatico

Controllo che il rinnovo funzioni davvero e che un avviso arrivi in caso di errore.

Redirect da HTTP a HTTPS

Regole coerenti per pagine, risorse e moduli, senza loop.

Controllo misto

Individuazione di risorse caricate in HTTP che generano avvisi di contenuto misto.

Backup e ripristino

Copie complete, conservate fuori dal server, con una prova di ripristino documentata.

Definizione di frequenza e ritenzione

Quante copie tenere, per quanto tempo e con quale frequenza, in base a quanto cambia il sito.

Copia di file e database

Backup completo e coerente, con verifica dell’integrità dell’archivio.

Conservazione separata

Copia su uno spazio diverso dal server principale, con accesso controllato.

Prova di ripristino

Ripristino in ambiente separato e controllo delle funzioni critiche, con esito registrato.

Aggiornamenti e vulnerabilità

Aggiornamenti programmati di core, plugin e temi, con verifica dopo ogni intervento.

Inventario delle componenti

Elenco di plugin, temi, librerie e versioni, con indicazione di ciò che è realmente usato.

Aggiornamenti in ambiente di prova

Applicazione delle modifiche su una copia e controllo delle funzioni critiche.

Verifica delle vulnerabilità note

Controllo delle segnalazioni pubbliche e delle versioni non più supportate.

Rimozione di ciò che non serve

Disattivazione ed eliminazione di plugin e temi inutilizzati, che ampliano la superficie di rischio.

Accessi, utenti e permessi

Regole chiare su chi entra, con quale ruolo e attraverso quale percorso.

Revisione degli account

Elenco degli utenti, dei ruoli e degli accessi attivi, con rimozione di quelli non più necessari.

Autenticazione più robusta

Password gestite in modo sicuro, verifica in due passaggi dove disponibile.

Separazione dei ruoli

Permessi minimi per chi scrive, pubblica o amministra.

Registro delle modifiche

Traccia di chi ha cambiato cosa, utile quando un problema compare senza spiegazione.

Protezione perimetrale

Configurazione di firewall, limiti di accesso e protezione dai tentativi automatici.

Firewall applicativo

Regole per bloccare richieste anomale senza fermare visitatori e motori di ricerca legittimi.

Protezione del login

Limiti ai tentativi, blocco temporaneo e verifica in due passaggi.

Limiti e filtri

Controllo di dimensioni, metodi e frequenza delle richieste.

Verifica dopo le modifiche

Controllo che moduli, pagamenti e ricerca continuino a funzionare.

Posta elettronica e DNS associati

Caselle, inoltri e record di autenticazione, perché un sito che non manda email è un sito a metà.

Caselle e inoltri

Configurazione delle caselle necessarie e degli inoltri, senza duplicazioni.

Autenticazione del dominio

Record SPF, DKIM e DMARC impostati e verificati con chi gestisce la posta.

Prova di consegna

Invio di prova verso caselle diverse e controllo di spam e allegati.

Documentazione

Elenco di caselle, inoltri e record, con istruzioni per i cambi futuri.

Monitoraggio e risposta agli incidenti

Controlli periodici e una procedura semplice per capire cosa è successo e cosa fare.

Controllo di disponibilità

Verifiche periodiche con avvisi a una persona, non a una casella ignorata.

Controllo di certificati e scadenze

Avvisi prima della scadenza di certificati, domini e servizi.

Procedura di incidente

Ordine delle azioni: mettere in sicurezza, capire, ripristinare, comunicare.

Registro degli interventi

Data, causa, azione e verifiche, per non ripetere lo stesso errore.

03Come si valuta un hosting

Un hosting si valuta con domande concrete: quanto traffico sostiene, che tipo di supporto offre, dove si trovano i server, quali limiti ha sul database, che strumenti mette a disposizione per backup e ripristino. Il prezzo del primo anno dice poco se il rinnovo costa tre volte tanto o se l’assistenza risponde solo via ticket.

La prova più utile è misurare il sito reale: tempo di risposta, errori sotto carico, comportamento durante un aggiornamento. Un piano economico può bastare a un sito vetrina con poche pagine; un e-commerce con immagini pesanti e pagamenti richiede risorse diverse. La scelta si fa sui dati, non sull’etichetta.

• Prestazioni misurate sul sito, non solo sulla homepage del fornitore.
• Assistenza raggiungibile e con tempi dichiarati.
• Backup automatici e possibilità di ripristino autonomo.
• Ambiente di prova o possibilità di crearne uno.
• Costi di rinnovo e condizioni di uscita.
• Ubicazione dei server e trattamento dei dati.

Partiamo da un inventario: dominio, hosting, DNS, certificati, caselle, plugin, accessi e scadenze. Spesso le informazioni sono sparse tra il cliente, un vecchio fornitore e la casella di posta di qualcuno che non lavora più in azienda. Ricostruirle è la prima parte del lavoro.

Dopo l’inventario decidiamo cosa tenere e cosa cambiare. Le modifiche vengono fatte in una finestra concordata, con backup fresco e un piano di ritorno. Ogni intervento finisce con una verifica: sito raggiungibile, moduli funzionanti, posta in arrivo, certificato valido.

• Inventario e accesso ai pannelli necessari.
• Backup completo prima di qualsiasi modifica.
• Intervento in una finestra concordata.
• Verifica di sito, moduli, pagamenti e posta.
• Documentazione aggiornata e consegnata al cliente.

Misuriamo disponibilità, tempo di risposta, errori del server e scadenze. Teniamo traccia degli incidenti e del tempo di ripristino, perché la domanda vera non è «quanto siamo stati giù» ma «quanto abbiamo impiegato a tornare online». Un sito che cade spesso e torna in un minuto è diverso da un sito che cade una volta e resta fermo un giorno.

Misuriamo anche ciò che di solito nessuno guarda: età dei backup, esito delle prove di ripristino, numero di account attivi, componenti non aggiornate. Sono numeri poco entusiasmanti e molto utili.

• Disponibilità mensile e incidenti registrati.
• Tempo di ripristino dopo un guasto.
• Esito delle prove di backup.
• Componenti non aggiornate o non supportate.
• Scadenze di domini e certificati nei prossimi novanta giorni.

Il dominio registrato a nome dell’agenzia precedente è l’errore più comune e il più pericoloso: il cliente scopre di non controllare il proprio indirizzo solo quando deve cambiare fornitore. Segue il backup che esiste ma non è mai stato provato, e il certificato rinnovato a mano che scade di domenica.

Altri errori riguardano la posta: record SPF e DKIM mai configurati, email che finiscono in spam, inoltri che duplicano i messaggi. E poi gli accessi: vecchi account di persone che non lavorano più, password condivise in chat, plugin abbandonati da anni.

• Dominio non intestato al cliente.
• Backup mai ripristinato.
• Certificato in scadenza senza avviso.
• Record DNS modificati senza documentazione.
• Plugin inutilizzati lasciati attivi.
• Account di ex collaboratori ancora abilitati.

04Domande da fare al fornitore

Prima di firmare un contratto di hosting o manutenzione, chiedi dove sono i backup, con quale frequenza vengono fatti e chi può ripristinarli. Chiedi cosa succede se il sito viene compromesso, chi risponde di notte e con quali tempi. Un fornitore serio risponde con procedure, non con promesse generiche.

Chiedi anche come si esce: quali dati ricevi, in quale formato, con quali tempi. La libertà di cambiare fornitore è parte della qualità del servizio, non un tradimento.

• Dove sono conservati i backup e per quanto tempo?
• Chi può eseguire un ripristino e in quanto tempo?
• Come vengono gestiti gli aggiornamenti e le verifiche?
• Qual è la procedura in caso di sito compromesso?
• Cosa succede alla chiusura del contratto?

Servono gli accessi ai pannelli e la disponibilità di chi li ha creati. Servono le informazioni su caselle di posta, servizi collegati e persone che usano il sito. Se il dominio è intestato a un terzo, serve la collaborazione di quel terzo per il trasferimento.

Serve anche una decisione chiara su chi risponde degli accessi: il cliente deve poter entrare nei propri pannelli, anche se non li usa ogni giorno. Un’agenzia che custodisce tutto senza condividerlo crea dipendenza, non sicurezza.

• Accessi a hosting, dominio, DNS e caselle.
• Elenco delle persone che usano il sito.
• Informazioni sui servizi collegati.
• Un referente per le decisioni.
• Disponibilità a spostare gli accessi su un gestore di password condiviso.

La sicurezza infrastrutturale non sostituisce la manutenzione dei contenuti, né la protezione legale dei dati. Se il sito raccoglie dati personali, serve un’informativa e un trattamento coerente con le norme; se il problema è la lentezza percepita, può servire un intervento sulle pagine e sulle immagini.

Se il sito è già compromesso, l’ordine cambia: prima si mette in sicurezza, poi si pulisce, poi si ripristina. In quel caso il lavoro coinvolge anche chi gestisce il sito e, se necessario, un professionista della sicurezza.

Manutenzione del sito

Aggiornamenti, controlli e piccoli interventi sui contenuti, oltre alla parte infrastrutturale. Vedi la manutenzione

Accessibilità e conformità

Requisiti di accessibilità e informative sui dati personali, con professionisti competenti quando serve. Vedi accessibilità web

Prestazioni e hosting

Se il problema è la velocità, si misura prima di cambiare fornitore: a volte basta ottimizzare immagini e cache. Vedi ottimizzazione

05Glossario di hosting e sicurezza

I termini che compaiono nei pannelli e nelle conversazioni con i fornitori, spiegati senza gergo.

06Checklist prima di cambiare hosting

Un cambio di hosting fatto male può far sparire la posta o rendere il sito irraggiungibile per ore. Questa lista è quella che usiamo prima di toccare qualsiasi cosa.

• Backup completo di file, database e caselle.
• Copia dei record DNS attuali, salvata e leggibile.
• Elenco delle caselle e degli inoltri attivi.
• Verifica delle versioni di PHP, database e librerie.
• Ambiente di prova del nuovo hosting già funzionante.
• Piano di ritorno al fornitore precedente.
• Finestra di intervento concordata con chi usa il sito.
• Verifica finale di sito, moduli, pagamenti e posta.

Un lavoro fatto bene lascia meno domande di prima. Sai dove sono i backup, chi può ripristinarli, quando scade il dominio, come si entra nel pannello. Se un problema si ripete, esiste un registro e una causa nota, non solo una riparazione.

Si riconosce anche dalla documentazione: una pagina semplice con accessi, scadenze e responsabilità. Non serve un manuale di cento pagine; serve un documento che il cliente possa aprire senza chiamare nessuno.

• Il cliente conosce e controlla i propri accessi.
• Le scadenze hanno avvisi prima, non dopo.
• I backup vengono provati, non solo pianificati.
• Gli interventi sono registrati con data e verifica.
• Le modifiche al DNS sono annotate e reversibili.

Una messa in ordine iniziale richiede di solito da una a tre settimane, secondo la quantità di accessi da recuperare e di servizi coinvolti. Se il dominio è bloccato o il vecchio fornitore non collabora, i tempi si allungano per cause esterne, non per il lavoro tecnico.

Un cambio di hosting si esegue in una finestra di poche ore, ma la preparazione richiede giorni: copia, prova, configurazione, verifica. Le migrazioni affrettate sono quelle che producono i problemi più lunghi da risolvere.

Il costo comprende due parti: il servizio ricorrente, cioè hosting, dominio, certificati e monitoraggio, e il lavoro di configurazione e verifica. La prima è una fattura periodica; la seconda dipende dalla complessità dell’infrastruttura e dal numero di servizi da spostare.

Non pubblichiamo listini perché i piani di hosting cambiano e un prezzo fisso nasconderebbe le differenze. Chiediamo cosa ospita il sito, quante caselle servono e quali sono i vincoli, poi separiamo chiaramente canoni e interventi.

• Canone di hosting e servizi associati.
• Numero di domini e certificati.
• Caselle di posta e servizi collegati.
• Ore di configurazione e migrazione.
• Monitoraggio e supporto periodico.

07Hosting condiviso, VPS o cloud

L’hosting condiviso costa meno e basta a molti siti vetrina, ma le risorse sono in comune con altri e un vicino rumoroso può rallentare tutto. Un VPS offre risorse dedicate e più controllo, ma richiede competenze per essere configurato e mantenuto. Il cloud è flessibile e scalabile, con costi che vanno letti con attenzione.

La scelta dipende dal carico e dalla competenza disponibile. Un sito con pochi visitatori e nessun picco non ha bisogno di un’architettura complessa. Un e-commerce con campagne attive e migliaia di prodotti sì. Meglio un piano semplice ben configurato che un’infrastruttura potente mal gestita.

08La posta elettronica è parte del progetto

Molti problemi attribuiti al sito sono in realtà problemi di posta: email che finiscono in spam, moduli che non arrivano, caselle piene. La posta ha bisogno di record corretti, di una casella monitorata e di regole chiare su chi risponde.

Quando configuriamo un dominio, proviamo l’invio verso più destinazioni e controlliamo l’autenticazione. Se l’azienda usa un servizio esterno per la posta, documentiamo quali record gli appartengono, così un cambio di hosting non li cancella.

09Proteggere i dati personali

Un sito raccoglie dati anche quando non ha un modulo: indirizzi IP, cookie, statistiche. La protezione comincia dalla configurazione: accessi limitati, HTTPS, aggiornamenti, backup accessibili a poche persone.

Le scelte tecniche vanno accompagnate da informative comprensibili e da una durata di conservazione dichiarata. Non siamo uno studio legale: su questi temi lavoriamo con chi ha la competenza specifica e applichiamo le indicazioni ricevute.

10Migrare senza perdere posizioni

Una migrazione ben fatta conserva URL, redirect e contenuti. Prima si mappa ogni pagina, poi si impostano i redirect delle vecchie destinazioni, si verificano i link interni e si controlla che le pagine importanti rispondano con lo stato corretto.

Dopo il passaggio si guardano gli errori di scansione, la sitemap e le pagine più visitate. Un calo temporaneo è possibile; un calo che dura settimane spesso indica redirect mancanti o contenuti non trasferiti.

11Il registro delle scadenze

Domini, certificati, hosting, caselle, contratti e licenze hanno date diverse e rinnovi automatici che a volte si disattivano da soli. Un registro condiviso con le scadenze dei prossimi dodici mesi evita la maggior parte delle emergenze.

Il registro non è un documento tecnico: è una tabella che il cliente può leggere e aggiornare. Chi rinnova, quanto costa, dove si paga, cosa succede se non si rinnova. Sembra banale finché non scade qualcosa.

12Backup 3-2-1 e prove periodiche

La regola 3-2-1 è semplice: tre copie dei dati, su due supporti diversi, una delle quali fuori dalla sede o dal provider principale. Non è una formula magica, ma un promemoria utile. Se il server viene compromesso e le copie sono sullo stesso server, il backup non serve a nulla.

La frequenza dipende da quanto cambia il sito. Un blog con un articolo a settimana può avere una copia giornaliera e conservarne trenta. Un e-commerce con ordini e clienti continui ha bisogno di copie più ravvicinate e di un ripristino rapido. La domanda da porsi è sempre la stessa: quanti dati possiamo perdere senza conseguenze gravi?

La prova di ripristino è la parte che distingue un backup da una speranza. Si sceglie una data, si ripristina in un ambiente separato, si controlla che il sito si apra, che i moduli funzionino e che i dati siano coerenti. L’esito va registrato, con la data e la persona che ha eseguito la prova.

• Tre copie, due supporti, una fuori sede.
• Frequenza proporzionata al cambiamento dei dati.
• Conservazione dichiarata e verificata.
• Ripristino provato almeno una volta all’anno.
• Registro delle prove con data ed esito.

Gestiamo infrastrutture per aziende di dimensioni diverse, con esigenze di continuità e riservatezza differenti. Questi sono alcuni dei settori con cui lavoriamo.

• Hotel e ospitalità
• Logistica e trasporti
• Energia e impianti

Hosting e sicurezza si integrano con i servizi che tengono il sito in salute e con quelli che ne costruiscono le prestazioni.

13Domande frequenti su hosting e sicurezza