Presidio

Presidio controlla ogni sito dal proprio server: che sia online, che il lucchetto HTTPS sia valido e non in scadenza, che le protezioni del browser siano attive. Dati reali, aggiornati in automatico.

Percorsi-trappola — indirizzi finti (es. file di password, cartelle di codice) messi sui tuoi siti: nessun visitatore normale li apre, quindi chi ci prova viene bloccato subito.

Link-trappola (canary) — link invisibili da nascondere nelle pagine.

Una trappola è un link invisibile da nascondere in una pagina di un tuo sito. Nessun visitatore normale lo apre: se viene aperto, chi l'ha fatto è un bot/scanner e il suo IP compare qui sopra con dati reali.

Mostra solo ciò che Presidio può verificare su sé stesso. Backup, VPN e verifica in due passaggi degli account (Hetzner, GitHub…) sono fuori dalla sua vista: vanno controllati a parte.

Lo scudo di Presidio controlla ogni richiesta verso i siti protetti e respinge quelle che somigliano ad attacchi noti (manipolazione del database, script malevoli, accesso a file riservati, comandi sul server, scanner automatici). Le tue richieste da console autenticata non vengono mai bloccate.

Ogni giorno Presidio invia a ciascun tuo sito, dall'esterno e lungo il percorso reale, cinque richieste di collaudo con le firme di prova standard dei WAF (SQL injection, script nelle pagine, lettura di file, Log4Shell, scanner). Sono stringhe inerti: non toccano i siti. Ogni richiesta è firmata da Presidio, che la riconosce come propria: non la registra come attacco e non blocca il proprio indirizzo. Un sito è protetto se le ferma tutte; in osservazione se è in modalità solo-registrazione; non passa da Presidio se le richieste arrivano al sito senza controllo. Il risultato è anche l'evidenza per la misura NIS2 art. 21 lett. f.

Presidio riconosce i crawler dichiarati da OpenAI, Anthropic, Perplexity, Common Crawl, Meta, Amazon, ByteDance e altri. Per ogni sito scegli: consenti (registra soltanto), no addestramento (blocca chi raccoglie contenuti per addestrare modelli, consente ricerca e richieste fatte per conto di un utente) oppure blocca tutti. Un crawler bloccato riceve un rifiuto ma non è trattato come attaccante: il suo indirizzo non viene bloccato. L'identità è quella dichiarata dal crawler: chi si spaccia per un crawler resta sotto i controlli normali. Il robots.txt suggerito va copiato nel sito, così anche i crawler che rispettano le regole non ci provano.

I security headers dicono al browser come comportarsi in sicurezza: forzano HTTPS (HSTS), bloccano il MIME-sniffing (nosniff), impediscono che il sito sia incorniciato in pagine malevole (X-Frame-Options), limitano referrer e permessi; la CSP limita da dove la pagina può caricare contenuti.

Ogni azione amministrativa (accessi, blocchi, modifiche, scansioni) e ogni blocco automatico viene scritta in un registro a catena firmata: una riga modificata, inserita o cancellata viene rilevata e segnalata.

admin: tutto, comprese approvazioni e utenti · analista: consulta e lavora (scansioni, analisi, proposte di regole, incidenti) ma non approva e non cambia configurazioni · lettura: solo consultazione ed esportazione. Il proprietario (impostato sul server) è sempre amministratore. Bloccare un utente o cambiargli la password chiude subito le sue sessioni.

Scansione non distruttiva (sola lettura): trova le vulnerabilità senza attaccare né rischiare di rallentare il sito. Quando disponibili, usa i motori reali nuclei (template CVE/misconfig), il motore porte di Presidio e testssl.sh (TLS approfondito) — esclusi test intrusivi/fuzzing/brute-force; altrimenti usa il motore Node di base. Consentita solo su domini tuoi: i siti sul tuo server si verificano da soli, per gli altri serve una verifica di proprietà.

Fonti pubbliche: catalogo CISA KEV (vulnerabilità sfruttate davvero) e FIRST EPSS (probabilità di sfruttamento a 30 giorni), incrociate con la tecnologia rilevata su ogni sito. Aggiornamento automatico ogni 12 ore. Verifica = test pubblico nuclei per quella CVE, in sola lettura.

Analisi della catena di fornitura con OSV-Scanner (Google, Apache-2.0): pacchetti di sistema e librerie di ogni immagine che serve un sito, confrontati con il database OSV. Due modi: carica il package-lock.json di un progetto (il file resta nel tuo browser: a Presidio arriva solo l'elenco nome@versione dei pacchetti) oppure lo script notturno sul server per le immagini. Le vulnerabilità con CVE entrano nell'incrocio con CISA KEV ed EPSS qui sopra.

Ogni regola nasce proposta e non fa nulla. Passaggi: Solo osserva (registra chi la attiverebbe, senza bloccare) → Attiva blocco. Ogni decisione finisce nel registro di audit. Solo confronti di testo, niente espressioni libere.

Dai registri pubblici dei certificati (Certificate Transparency, crt.sh) Presidio ricava l'elenco dei sottodomini visibili per ogni tuo dominio e segnala quelli nuovi: un sottodominio comparso di recente può essere un servizio dimenticato o non previsto, da controllare. Verifica anche la presenza del file security.txt (dove indichi a chi segnalare le vulnerabilità). Solo lettura di fonti pubbliche: nessuna scansione dei sottodomini.

Scadenze calcolate dalla data di conoscenza: NIS2 pre-notifica 24 h, notifica 72 h, relazione finale 1 mese · GDPR notifica al Garante 72 h · CRA preallarme 24 h, notifica 72 h, relazione finale. Presidio non invia nulla alle autorità: ricorda le scadenze e raccoglie le prove; l'invio resta una tua decisione.