Il go-live è il momento di massima esposizione. Ogni configurazione dimenticata, ogni header mancante, ogni credenziale esposta diventa una vulnerabilità reale. Questa checklist è il vostro gate di sicurezza prima della produzione.

Infrastruttura

Rete e accesso

HTTPS obbligatorio su tutti gli endpoint (TLS 1.2+ minimo)
Certificato SSL/TLS valido e con rinnovo automatico
Firewall configurato (solo porte necessarie aperte)
SSH con chiave pubblica (password disabilitata)
VPN o IP whitelisting per accesso admin
Rate limiting configurato sui reverse proxy
DDoS protection attiva (Cloudflare o equivalente)

Server

Sistema operativo aggiornato con patch di sicurezza
Servizi non necessari disabilitati
Utente non-root per l'applicazione
Log centralizzati e protetti da manipolazione
Monitoraggio uptime e risorse configurato
Backup automatici testati e funzionanti

Docker / Container

Immagini base aggiornate e scansionate per vulnerabilità
Container eseguiti con utente non-root
Nessun segreto hardcoded nelle immagini
Health check configurati
Limiti di risorse (CPU, memoria) impostati
Network isolation tra container

Applicazione

Autenticazione

Password con requisiti minimi (lunghezza ≥12, complessità)
Hash delle password con bcrypt/argon2 (costo ≥10)
MFA disponibile (obbligatorio per admin)
Sessioni con scadenza ragionevole (15-30 min inattività)
Invalidazione sessione al logout
Protezione brute force (account lockout dopo N tentativi)
Reset password sicuro (token monouso con scadenza)

Autorizzazione

Principio del minimo privilegio applicato
Controllo autorizzazione su ogni endpoint (non solo autenticazione)
RBAC o ABAC implementato e testato
Endpoint admin separati e protetti
Nessun IDOR (Insecure Direct Object Reference)

Validazione input

Validazione lato server su tutti gli input (Zod, Joi, ecc.)
Sanitizzazione dell'output (prevenzione XSS)
Query parametrizzate (prevenzione SQL injection)
Upload file validati (tipo, dimensione, contenuto)
Content-Type verificato su ogni richiesta

Header di sicurezza

Strict-Transport-Security (HSTS)
Content-Security-Policy (CSP)
X-Content-Type-Options: nosniff
X-Frame-Options: DENY
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy configurato
X-XSS-Protection: 0 (obsoleto ma non dannoso)

Cookie

Flag Secure su tutti i cookie
Flag HttpOnly sui cookie di sessione
SameSite=Strict o Lax configurato
Durata cookie proporzionata alla finalità
Nessun dato sensibile nei cookie

Gestione errori

Messaggi di errore generici per l'utente (nessun dettaglio tecnico)
Stack trace disabilitati in produzione
Errori loggati lato server con contesto sufficiente
Pagine di errore personalizzate (404, 500)
Nessuna informazione sul server negli header (Server, X-Powered-By rimossi)

Dati e segreti

Segreti

Nessun segreto nel codice sorgente
Variabili d'ambiente per credenziali
File .env in .gitignore
Segreti ruotati rispetto allo sviluppo
Chiavi API con permessi minimi
Nessun segreto nei log

Database

Credenziali database dedicate per l'applicazione (non root)
Connessione database crittografata (SSL)
Query parametrizzate ovunque
Backup automatico con retention policy
Dati sensibili crittografati a riposo
Accesso database non esposto pubblicamente

GDPR / Privacy

Informativa privacy aggiornata e accessibile
Banner cookie conforme (Garante Privacy)
Registro dei trattamenti aggiornato
DPA firmati con tutti i fornitori che trattano dati
Procedura per esercizio diritti degli interessati
Log degli accessi ai dati personali

API

Autenticazione su tutti gli endpoint non pubblici
Rate limiting per endpoint
CORS configurato con origini specifiche
Validazione input su ogni endpoint
Paginazione con limiti massimi
Versioning dell'API
Documentazione OpenAPI aggiornata

Monitoraggio e risposta

Logging

Log strutturati (JSON)
Nessun dato personale nei log (PII)
Nessuna password o token nei log
Retention dei log definita
Log centralizzati e ricercabili

Alerting

Allarme su errori 500 anomali
Allarme su tentativi di accesso falliti massivi
Allarme su certificato SSL in scadenza
Allarme su utilizzo risorse anomalo
Procedura di risposta agli incidenti documentata

Scansione

Scansione vulnerabilità automatizzata (dipendenze)
Scansione header di sicurezza
Test di penetrazione effettuato
OWASP Top 10 verificato

Pipeline CI/CD

Scansione dei segreti nel codice (pre-commit hook)
Analisi statica del codice (SAST)
Scansione delle dipendenze (SCA)
Test di sicurezza automatizzati nella pipeline
Deploy automatizzato con rollback
Nessun accesso manuale al server di produzione

Processo di validazione

Prima del go-live, fate passare questa checklist con:

Lo sviluppatore verifica l'applicazione
Il DevOps verifica l'infrastruttura
Un revisore indipendente effettua una review
Una scansione automatizzata conferma i controlli tecnici

Solo quando tutti e quattro hanno validato, il go-live è autorizzato.

Scansiona il tuo sito web gratis con WarDek — OWASP, NIS2, GDPR, AI Act in un'unica scansione.

Checklist sicurezza pre-produzione