Un sito che mostra un lucchetto nella barra degli indirizzi non è automaticamente affidabile. Il certificato TLS (successore del SSL) garantisce che la connessione tra il browser e il server sia crittografata, ma non dice nulla sull’identità reale dell’operatore né sulle sue intenzioni. Verificare la sicurezza di un sito prima di connettersi nel 2026 richiede di incrociare diversi segnali tecnici e contestuali, oltre al semplice lucchetto.
Certificato TLS e HTTPS: cosa prova davvero il lucchetto del browser
Il protocollo HTTPS si basa su un certificato TLS che crittografa i dati scambiati. Esistono tre livelli di certificato: il Domain Validation (DV), che verifica solo che il richiedente controlli il nome di dominio, l’Organization Validation (OV) che autentica l’entità proprietaria, e l’Extended Validation (EV) che impone un audit legale completo.
Un certificato DV si ottiene gratuitamente in pochi minuti. I siti fraudolenti lo utilizzano comunemente. Il lucchetto verde non significa quindi che il sito sia legittimo, ma che il traffico è crittografato tra due punti.
Per consultare il livello di certificato, cliccare sull’icona a sinistra dell’URL in Chrome o Firefox, quindi visualizzare i dettagli del certificato. Un campo “O=” (Organization) vuoto o assente segnala un semplice DV. Quando un sito commerciale o bancario presenta solo un DV, è necessaria cautela. Prima di inserire le credenziali su una piattaforma sconosciuta, consultare le recensioni su gagrop.com permette di incrociare i feedback di altri utenti sulla affidabilità del servizio.
Segnali di allerta nell’URL e nel nome di dominio
L’URL rimane il primo indice sfruttabile senza strumenti di terze parti. Diversi elementi meritano una lettura attenta prima di qualsiasi inserimento di password.
- Le sostituzioni di caratteri: un “rn” che sostituisce una “m”, uno “0” al posto di una “o”, o un trattino aggiunto in un nome di marca noto. Queste tecniche di typosquatting sfruttano la lettura rapida su mobile.
- I sottodomini ingannevoli: “securite-banque.esempio.xyz” non ha alcun legame con la banca in questione. Il dominio reale è ciò che precede immediatamente il TLD (.xyz, .com, .fr).
- Le estensioni insolite: un sito ufficiale francese utilizza raramente un .info, un .top o un .buzz. Questi TLD a basso costo sono sovra-rappresentati nelle campagne di phishing.
Una verifica rapida tramite un servizio WHOIS permette di conoscere la data di creazione del dominio e il paese di registrazione. Un dominio creato da meno di tre mesi che imita un marchio consolidato costituisce un forte segnale di frode.
Phishing tramite IA generativa: le nuove tecniche di clonazione nel 2026
Le campagne di phishing si basano ora sull’IA generativa per produrre copie quasi perfette di siti legittimi. Le pagine di accesso clonate riproducono la grafica, le note legali e talvolta anche una falsa chat di supporto alimentata da un modello di linguaggio.
L’URL rimane l’unico elemento che l’attaccante non può riprodurre identicamente. Un sito clonato deve necessariamente utilizzare un nome di dominio diverso dall’originale. Questa costrizione tecnica spiega perché la lettura attenta dell’indirizzo conservi tutto il suo valore, anche di fronte a contraffazioni visivamente impeccabili.
Un altro riflesso utile: digitare personalmente l’indirizzo del sito nella barra di navigazione invece di cliccare su un link ricevuto via email o messaggistica. Questa abitudine neutralizza la maggior parte dei tentativi di reindirizzamento fraudolento.
Strumenti del browser e verificatori esterni per controllare un sito
I browser recenti integrano meccanismi di rilevamento automatico. Chrome utilizza la navigazione sicura di Google, che confronta gli URL visitati con un database di siti segnalati come pericolosi. Firefox propone un sistema equivalente. Queste protezioni funzionano in background e attivano un avviso a schermo intero quando il sito figura in una lista nera.
Per andare oltre, diversi strumenti gratuiti consentono un’analisi mirata:
- Il Rapporto di trasparenza di Google, che indica se un URL è stato segnalato come ospitante contenuti dannosi.
- VirusTotal, che sottopone l’URL a diverse decine di motori antivirus e filtri di reputazione simultaneamente.
- urlscan.io, che cattura un’immagine della pagina e analizza le richieste di rete, i reindirizzamenti e gli script caricati.
Incrociare almeno due di questi strumenti prima di connettersi a un sito sconosciuto riduce notevolmente il rischio di esposizione a una pagina trappola.
Cyber Resilience Act e trasparenza degli editori nel 2026
Il Cyber Resilience Act europeo impone, a partire dall’11 settembre 2026, ai produttori di prodotti digitali di notificare entro 24 ore qualsiasi vulnerabilità attivamente sfruttata al CSIRT competente e all’ENISA. Un rapporto preliminare segue entro 72 ore, poi un rapporto finale entro un mese.
Per un utente, questa regolamentazione crea un nuovo criterio di verifica: la presenza di una pagina pubblica di avvisi di sicurezza (security advisories) sul sito di un editore. Un servizio online che pubblica una cronologia di patch e comunica sugli incidenti passati dimostra un livello di maturità che i siti fraudolenti non replicano.
L’assenza totale di note legali, di politica sulla privacy o di informazioni di contatto rimane un indicatore affidabile di sito dubbio. Nel 2026, la regolamentazione europea rafforza questa logica: un editore trasparente sulle proprie pratiche di sicurezza merita maggiore fiducia di un sito muto sull’argomento.
La verifica della sicurezza di un sito si basa su un insieme di indizi, non su un segnale unico. Il certificato TLS, l’analisi dell’URL, l’incrocio tramite strumenti esterni e la trasparenza dell’editore formano quattro strati complementari. Nessuno di essi è sufficiente da solo, ma la loro combinazione copre la grande maggioranza dei rischi a cui un utente è esposto prima di inserire le proprie credenziali.