Parte 13 ore
Il dominio dell'azienda sotto la lente, con av audit
- Email a nome dell'azienda: SPF (come finisce il record, -all o ~all, e il limite dei 10 controlli DNS), DKIM (le firme trovate), DMARC (none, quarantine o reject, i report). Come arrivare a reject senza perdere posta
- DNS: il dominio è firmato (DNSSEC)? Chi può emettere certificati per il dominio (CAA)? Dove stanno DNS e posta, e quando scade il dominio
- Certificati e HTTPS: scadenze, HSTS e preload, e i certificati emessi a nome dell'azienda nei registri pubblici (Certificate Transparency): sottodomini che l'azienda non sapeva di avere
- Le intestazioni di sicurezza del sito, una per una: CSP, protezione dai riquadri (X-Frame-Options), nosniff, Referrer-Policy, Permissions-Policy. Cosa fa ognuna, e il punteggio del sito dell'azienda
- Cosa vede del sito dell'azienda chi cerca un punto debole: tecnologie riconoscibili, versione di WordPress e plugin visibili, pagine di accesso esposte, il file security.txt
- Cosa questo controllo non vede, e chi lo deve fare: porte aperte, password trapelate, test di attacco simulato (penetration test)