Come capire se un sito è sicuro: i 3 controlli essenziali
Per capire se un sito è sicuro devi verificare tre cose: che la connessione sia cifrata (l’indirizzo inizia con HTTPS), che il dominio sia autentico (URL scritto correttamente, senza errori o caratteri sospetti) e che dietro il sito ci sia un’identità verificabile (azienda reale, partita IVA, contatti, recensioni). Attenzione: il vecchio lucchetto nella barra del browser da solo non basta più a stabilire che un sito sia affidabile.
In questa guida vedrai, passo dopo passo, come controllare la sicurezza di un sito web, come riconoscere un sito falso o una truffa, quali strumenti gratuiti usare e quando conviene rivolgersi a un professionista.
Checklist rapida – prima di fidarti di un sito (o di pagare):
- L’indirizzo inizia con `https://`
- Il nome a dominio è scritto esattamente come quello ufficiale (nessun errore di battitura, nessun dominio strano)
- Sono presenti dati societari completi: ragione sociale, sede, partita IVA, contatti
- Le recensioni esterne sono numerose, recenti e credibili
- I pagamenti avvengono tramite circuiti tracciabili (carta, PayPal), non solo bonifico anticipato, ricarica o cripto
- Il sito non è stato segnalato da Google Safe Browsing o da VirusTotal
Come capire se un sito è sicuro: “Sito sicuro” e “sito affidabile” – due cose diverse
Quando si parla di sito sicuro si confondono spesso due concetti molto diversi:
- Sicurezza della connessione (aspetto tecnico): riguarda il fatto che i dati che scambi con il sito (password, numero di carta, messaggi) viaggino cifrati e non possano essere intercettati o letti da terzi. È il dominio dell’HTTPS e del certificato SSL/TLS.
- Affidabilità del sito (chi c’è dietro): riguarda il fatto che il sito sia gestito da soggetti reali e onesti, che venda prodotti veri, che rispetti i tuoi diritti e non sia costruito per truffarti o per rubarti i dati.
La distinzione è fondamentale perché un sito può avere una connessione perfettamente cifrata ed essere comunque una truffa. Oggi quasi tutti i siti fraudolenti usano HTTPS proprio per sembrare legittimi. Per questo, per valutare davvero la sicurezza di un sito, servono entrambi i livelli di controllo.
1. Controlla la connessione: HTTPS e certificato SSL
HTTP o HTTPS: la prima cosa da guardare
Guarda l’inizio dell’indirizzo nella barra del browser:
- `http://` – la connessione non è cifrata. Tutto ciò che digiti viaggia in chiaro e può essere intercettato. Non inserire mai dati personali, password o dati di pagamento su una pagina in semplice HTTP.
- `https://` – la connessione è cifrata tramite protocollo TLS (l’evoluzione del vecchio SSL). I dati scambiati sono protetti durante il trasferimento.
In pratica, HTTPS è più sicuro di HTTP ed è il requisito minimo: un sito che chiede dati senza HTTPS è da evitare. I browser moderni segnalano le pagine in HTTP come “Non sicuro”.
Il certificato SSL: cosa garantisce (e cosa no)
L’HTTPS funziona grazie a un certificato SSL/TLS installato sul server. Esistono diversi livelli:
- Certificato DV (Domain Validation): conferma solo che chi gestisce il sito controlla quel dominio e che la connessione è cifrata. È il tipo più diffuso, gratuito e immediato da ottenere. Non dice nulla sull’onestà di chi c’è dietro.
- Certificati OV ed EV (Organization / Extended Validation): verificano anche l’identità dell’organizzazione proprietaria. Sono più seri perché richiedono controlli sull’azienda, ma sono meno comuni.
Il punto chiave: il fatto che un sito abbia un certificato SSL non garantisce che sia affidabile. Un truffatore può ottenere gratuitamente un certificato DV per il proprio dominio. Il certificato protegge la trasmissione dei dati, non l’onestà del destinatario.
Il lucchetto non è più sinonimo di “sito sicuro”
Per anni l’icona del lucchetto accanto all’indirizzo è stata considerata il simbolo del “sito sicuro”. Oggi non è più così, ed è un errore diffuso.
A partire dal 2023 (con la versione 117), Google Chrome ha sostituito il lucchetto con un’icona neutra a forma di due cursori (la cosiddetta tune icon), proprio perché il lucchetto induceva gli utenti a credere, erroneamente, che un sito fosse affidabile. Ormai oltre il 95% delle pagine viaggia su HTTPS e anche i siti malevoli lo usano: segnalare la cifratura con un’icona dedicata era diventato fuorviante. Studi e avvisi pubblici (incluse comunicazioni dell’FBI) hanno ribadito che il lucchetto indica solo che la connessione è cifrata, non che il sito sia sicuro o legittimo.
Cosa fare quindi:
- Clicca sull’icona accanto all’indirizzo per vedere i dettagli del certificato e i permessi del sito.
- Non fermarti al lucchetto: valuta l’URL, l’identità del gestore e la reputazione, come vedremo nei prossimi punti.
2. Analizza l’URL e il nome a dominio
Leggere correttamente un indirizzo web
Il modo più rapido per smascherare un sito falso è leggere bene il dominio. Il dominio “vero” è quello che si trova immediatamente prima della prima barra `/`.
Esempio. In un indirizzo come:
`https://accedi.paypal.com.verifica-conto.xyz/login`
il dominio reale non è `paypal.com`, ma `verifica-conto.xyz`. La parte `paypal.com` è solo un sottodominio messo lì per ingannare. Imparare a riconoscere questo trucco protegge dalla maggior parte dei tentativi di phishing.
I trucchi dei siti falsi
I siti fraudolenti usano spesso queste tecniche:
- Typosquatting: domini quasi identici a quelli ufficiali ma con piccole variazioni (`amaz0n.com`, `paypa1.com`, `goggle.com`).
- Sottodomini e trattini ingannevoli: `nomebanca-sicurezza.com`, `assistenza-poste.net`.
- Estensioni (TLD) insolite: un grande marchio che improvvisamente “vende” su domini `.xyz`, `.top`, `.shop` sconosciuti è sospetto.
- Caratteri simili (omoglifi): lettere di altri alfabeti che assomigliano a quelle latine.
Nel dubbio, non cliccare sul link: digita tu stesso l’indirizzo ufficiale del sito nel browser, oppure raggiungilo da una ricerca su Google.
Come verificare dove porta davvero un link
I link nelle email e nei messaggi possono mostrare un testo e portare a tutt’altro indirizzo. Per verificare la corrispondenza tra link visibile e link reale:
- Da computer: passa il mouse sopra il link (senza cliccare): in basso nel browser compare l’indirizzo di destinazione reale. Se non coincide con quello che il testo promette, è un campanello d’allarme.
- Da smartphone: tieni premuto il link per visualizzare l’anteprima dell’URL completo.
- Link accorciati (bit.ly e simili): non mostrano la destinazione. Se non ti fidi della fonte, evitali o usa un servizio che “espande” il link prima di aprirlo.
3. Verifica il sito con strumenti gratuiti
Esistono servizi che analizzano un sito o un link e dicono se è stato segnalato come pericoloso. Sono utili per come sapere se un sito ha virus o se contiene malware.
| Strumento | A cosa serve | Come si usa |
| Google Safe Browsing – Site Status (`transparencyreport.google.com/safe-browsing/search`) | Verifica se Google ha rilevato contenuti pericolosi (malware, phishing) sul sito | Incolli l’indirizzo del sito e leggi l’esito |
| VirusTotal (`virustotal.com`) | Analizza URL e file con decine di motori antivirus | Incolli il link o carichi il file e controlli quanti motori lo segnalano |
| Whois / registro del dominio | Mostra data di registrazione, registrar e (quando disponibili) dati del titolare | Cerchi il dominio su un servizio whois (per i `.it`, il Registro `.it`) |
Tieni presente un limite importante: nessuno strumento è infallibile. Un sito truffaldino appena creato può non essere ancora stato segnalato. Questi controlli servono a confermare un sospetto o a scartare un sito chiaramente pericoloso, ma vanno sempre incrociati con gli altri segnali.
4. Come capire se un sito è sicuro: Scopri chi c’è dietro il sito
Capire a chi appartiene un sito e da quanto tempo esiste è uno dei controlli più rivelatori, soprattutto contro le truffe.
WHOIS e data di registrazione del dominio
Ogni dominio ha una data di registrazione, consultabile con un servizio whois. È un dato molto utile: un dominio registrato pochi giorni o poche settimane fa che vende prodotti a prezzi stracciati è quasi sempre un segnale di truffa.
Da tenere a mente: dal 2018, con il GDPR, i dati personali del titolare sono spesso oscurati nel whois pubblico per ragioni di privacy. Spesso non vedrai il nome del proprietario, ma puoi comunque ricavare la data di creazione, il registrar e, in alcuni casi, il nome dell’organizzazione.
Partita IVA, dati societari e contatti (per i siti italiani)
Un sito di vendita serio e legittimo, per legge, deve indicare in modo chiaro e accessibile (in genere nel footer, nella pagina “Contatti” o nelle condizioni di vendita):
- ragione sociale e sede legale;
- partita IVA;
- recapiti reali (email, PEC, telefono).
L’assenza di partita IVA o di dati societari è uno dei campanelli d’allarme più seri. Quando i dati ci sono, puoi fare un passo in più:
- verificare la partita IVA (per l’IVA intracomunitaria europea esiste il sistema VIES);
- cercare l’azienda nel Registro delle Imprese tramite una visura camerale, per controllare che esista davvero e che sia attiva.
Cosa fare quando i dati sono nascosti o non tornano
Se i dati del titolare sono oscurati, mancano del tutto o non coincidono (per esempio l’azienda dichiarata è diversa dall’intestatario del dominio o del conto su cui chiedono il pagamento), e la posta in gioco è alta — un acquisto costoso, un fornitore, un partner commerciale, un sospetto di frode — è il momento in cui i controlli “fai da te” non bastano più ed è opportuno un accertamento professionale.
5. Come capire se un sito è sicuro: Capire se un e-commerce è affidabile (ed evitare le truffe)
Questa è la domanda più frequente di chi compra online: come capire se un sito di e-commerce è affidabile.
I segnali d’allarme di un negozio online falso
Diffida se noti uno o più di questi elementi:
- Prezzi troppo bassi e sconti irrealistici sui prodotti più richiesti.
- Italiano sgrammaticato o palesemente tradotto in automatico.
- Solo metodi di pagamento non tracciabili: bonifico anticipato, ricarica, criptovalute, buoni regalo.
- Mancanza di dati societari (niente partita IVA, niente sede, niente condizioni di vendita).
- Contatti solo tramite form o un numero WhatsApp, senza alcun riferimento aziendale.
- Recensioni assenti, oppure tutte a cinque stelle, generiche e pubblicate nello stesso periodo.
- Dominio registrato da pochissimo (vedi punto 4).
- Urgenza artificiale: conti alla rovescia, “ultimi pezzi”, pressione a comprare subito.
- Immagini dei prodotti rubate da altri siti (puoi verificarle con una ricerca per immagini).
Recensioni: come leggerle (e perché Trustpilot va preso con cautela)
Cerca su Google il nome del sito insieme a parole come opinioni, recensioni, truffa, funziona. Leggi le esperienze di altri utenti su più fonti: forum, gruppi social, piattaforme di recensioni.
Attenzione però: anche le recensioni possono essere manipolate. Su piattaforme come Trustpilot le valutazioni possono essere sollecitate, filtrate o, in casi peggiori, comprate. Non guardare solo il voto medio: valuta quante recensioni ci sono, come sono distribuite nel tempo, quanto sono dettagliate e se descrivono problemi concreti. Una recensione utile racconta un’esperienza specifica; dieci recensioni entusiastiche e identiche valgono poco.
Metodi di pagamento sicuri
Per capire se un pagamento è sicuro, privilegia sempre strumenti che offrono protezione dell’acquirente:
- Carta di credito/debito (con possibilità di contestazione e chargeback);
- PayPal o sistemi simili con protezione acquisti.
Evita, soprattutto con venditori sconosciuti, il bonifico anticipato, le ricariche, i pagamenti in criptovalute e i buoni regalo: sono di fatto irrecuperabili in caso di truffa.
Prodotti originali o contraffatti?
Per capire se un sito vende prodotti originali, controlla che sia un rivenditore autorizzato del marchio o il sito ufficiale del brand, confronta i prezzi con quelli di mercato (un prezzo troppo basso su un prodotto di marca è sospetto) e verifica il dominio: spesso i falsi imitano il nome del marchio con piccole variazioni.
6. Il sito è offline o irraggiungibile? Come verificarlo
A volte la domanda non è se un sito sia sicuro, ma se sia online o down. Per capire se un sito è irraggiungibile per tutti o solo per te:
- usa un servizio di verifica stato (cerca “is it down” insieme al nome del sito) che ti dice se il sito risulta offline a livello generale;
- prova ad aprirlo da un’altra rete o dispositivo (per esempio dalla rete dati dello smartphone invece del Wi-Fi);
- svuota la cache del browser o prova in finestra anonima;
- se è il tuo sito, attiva un servizio di monitoraggio dell’uptime che ti avvisa quando va offline.
7. Navigare in sicurezza: le regole pratiche
Le 5 regole per navigare sicuri su Internet
- Verifica sempre HTTPS, URL e identità del sito prima di inserire dati.
- Paga con strumenti tracciabili e con protezione acquisti.
- Mantieni aggiornati browser, sistema operativo e antivirus.
- Non cliccare link ricevuti via email o SMS non richiesti: raggiungi il sito digitando tu l’indirizzo.
- Usa password robuste e diverse per ogni servizio e attiva l’autenticazione a due fattori (2FA).
VPN, antivirus e browser: cosa serve davvero
Meglio una VPN o un antivirus? Non sono alternative, fanno cose diverse:
- La VPN cifra e maschera il tuo traffico (utile per la privacy e sulle reti Wi-Fi pubbliche), ma non ti protegge dai malware né dalle truffe;
- L”antivirus protegge il dispositivo dai software malevoli.
Per una protezione completa servono entrambi, insieme a buone abitudini di navigazione.
Quanto al browser più sicuro: i principali (Chrome, Edge, Firefox, Safari, Brave) integrano protezioni anti-phishing e anti-malware solide. Più che la scelta del browser, contano il tenerlo aggiornato e l’attivare le protezioni avanzate disponibili (per esempio la Navigazione sicura avanzata di Chrome). Browser come Firefox e Brave sono più orientati alla privacy.
Hai un sito tuo? Come renderlo sicuro
Se la tua domanda è come rendere sicuro il tuo sito (prospettiva del proprietario), gli interventi essenziali sono:
- Installare e forzare l’HTTPS con un certificato SSL valido;
- Tenere aggiornati CMS, temi e plugin, eliminando quelli non utilizzati;
- Usare password forti e 2FA per gli accessi, limitando i privilegi;
- Effettuare backup periodici e automatici;
- Proteggere il sito con un firewall applicativo (WAF) e con scansioni anti-malware;
- Monitorare accessi anomali e disponibilità del sito.
Come capire se un sito è sicuro: Quando affidarsi a un professionista
I controlli descritti in questa guida coprono la grande maggioranza delle situazioni quotidiane. Ci sono però casi in cui il “fai da te” non è sufficiente: quando si è già subìta una truffa online, quando occorre tutelarsi legalmente, quando si valuta un fornitore, un partner o un investimento, oppure quando si è bersaglio di contenuti falsi o diffamatori pubblicati online.
In questi scenari serve un’indagine professionale: l’identificazione dei soggetti che si nascondono dietro siti, profili e identità anonime, la due diligence reputazionale ed economica, e la cristallizzazione dei contenuti digitali, cioè la loro acquisizione formale con data certa e garanzia di integrità, in modo che possano essere prodotti come prova in giudizio.
Agenzia Investigativa delle Alpi opera dal 1992 con autorizzazione prefettizia ex art. 134 T.U.L.P.S. (Prefettura di Torino), a Torino, in Piemonte e su tutto il territorio nazionale e internazionale. L’Agenzia è specializzata in indagini in ambito giuslavoristico e impiega strumenti investigativi avanzati (OSINT, SOCMINT, intelligence) per accertamenti su truffe online, web reputation e verifica di soggetti e imprese, con risultanze valide in giudizio. Per una valutazione del tuo caso è possibile richiedere un colloquio con il responsabile.
Come capire se un sito è sicuro: Domande frequenti (FAQ)
Controlla che l’indirizzo inizi con HTTPS, che il dominio sia scritto correttamente e corrisponda a quello ufficiale, che siano presenti dati societari e partita IVA, e che il sito non risulti segnalato da Google Safe Browsing o VirusTotal. Verifica inoltre recensioni e metodi di pagamento.
No. Il lucchetto (oggi sostituito in Chrome da un’icona di impostazioni) indica solo che la connessione è cifrata tramite HTTPS, non che il sito sia affidabile. Anche molti siti truffa usano HTTPS.
HTTPS è più sicuro perché cifra i dati scambiati con il sito. Non inserire mai dati personali o di pagamento su una pagina in semplice HTTP, che i browser segnalano come “Non sicuro”.
Passa il mouse sul link (o tienilo premuto su mobile) per vedere l’indirizzo reale di destinazione e controlla che coincida con quello atteso. In caso di dubbio, incolla l’URL in Google Safe Browsing o VirusTotal e non aprire link accorciati da fonti non affidabili.
Verifica la presenza di dati societari e partita IVA, prezzi non irrealistici, recensioni credibili su più fonti, metodi di pagamento con protezione acquisti e una data di registrazione del dominio non troppo recente.
Puoi consultare i dati del dominio tramite un servizio whois, anche se dal 2018 (GDPR) i dati personali del titolare sono spesso oscurati. Per i siti di vendita italiani, i riferimenti aziendali e la partita IVA devono comparire nel sito e sono verificabili nel Registro delle Imprese.
La data di registrazione del dominio è indicata nei dati whois. Un dominio registrato da pochissimo tempo, soprattutto se vende a prezzi molto bassi, è un segnale di rischio.
Incolla l’indirizzo del sito in Google Safe Browsing (Transparency Report) o in VirusTotal, che analizza l’URL con molti motori antivirus. Ricorda che nessuno strumento è infallibile, soprattutto con siti appena creati.
È una fonte utile ma non va presa come verità assoluta: le recensioni possono essere sollecitate o filtrate. Valuta quantità, distribuzione nel tempo e livello di dettaglio delle recensioni, e incrocia più fonti.
Non sono alternative. La VPN protegge la privacy e cifra il traffico ma non blocca i malware; l’antivirus protegge il dispositivo dai software dannosi. Per una sicurezza completa servono entrambi.
I principali browser (Chrome, Edge, Firefox, Safari, Brave) offrono protezioni integrate efficaci. Più della scelta del browser conta tenerlo aggiornato e attivare le protezioni avanzate; Firefox e Brave sono più orientati alla privacy.
Non inserire dati, non scaricare file ed esci dalla pagina. Se hai già inserito credenziali, cambia subito la password (e quella di account collegati) e attiva la 2FA; se hai comunicato dati di pagamento, contatta la banca.
Usa un servizio di verifica stato del sito, prova ad aprirlo da un’altra rete o dispositivo e svuota la cache del browser. Questo ti aiuta a capire se il sito è offline per tutti o solo per te.
