Prima provala: il DNA del tuo sito. Inserisci un dominio, premi «Sequenzia» e dopo una ventina di secondi l'elica comincia a girare. Se non hai un dominio sottomano, il pulsante demo usa daniele-michelin.com.
Come si legge l'elica
- Una coppia di basi = un componente: ogni libreria, ogni servizio esterno, gli script e i fogli di stile propri, i cookie e la tecnologia del server con versione, più otto coppie per la protezione (sei header di sicurezza, HTTPS, TLS).
- Blu = codice proprio: tutto quello che arriva dall'host del sito o da un suo sottodominio.
- Viola = terze parti: CDN, analisi, font, video, chat, mappe, pubblicità. Ognuno di questi host riceve l'indirizzo IP del visitatore al caricamento della pagina.
- Verde = protezione attiva, arancione = protezione mancante: gli header di sicurezza e la cifratura.
- Rosso che pulsa = vulnerabilità nota: una libreria in una versione con CVE.
- Comandi: trascinando si ruota l'elica, altrimenti gira piano da sola. Passando col mouse su una base compare un'etichetta olografica con nome, versione, host e le CVE con la gravità. Sul telefono si tocca, con la tastiera si scelgono le coppie con le frecce. All'avvio l'elica si sequenzia base dopo base, con un contatore da laboratorio.
La parte utile: il referto genomico
Accanto all'elica c'è lo stesso referto in forma di testo. È lo strumento di lavoro vero e proprio.
- Composizione: che percentuale delle risorse è propria e quale di terzi, divisa tra script, CSS, font, iframe e immagini.
- Terze parti e GDPR: l'elenco degli host esterni con servizio e categoria. Ognuno si carica con la pagina e riceve l'indirizzo IP del visitatore. Serve una base giuridica, e per Google Fonts, YouTube o gli analytics spesso il consenso. L'elenco mostra cosa va nell'informativa privacy e nel banner dei cookie.
- Librerie e CVE: le versioni si ricavano dal nome del file (
jquery-3.4.0.min.js), dai percorsi dei CDN, da?ver=su WordPress e dai banner di commento dei file JavaScript propri. Ogni versione va a OSV.dev. Ogni vulnerabilità trovata compare nel referto con la gravità e un link alla scheda OSV. - Cookie: nome, durata e i flag Secure, HttpOnly e SameSite dei cookie che il server invia con la homepage. Il workflow non legge mai i valori.
- Header e tecnologia: quali header di protezione mancano, quanto vale ancora il certificato e se server o PHP rivelano il numero di versione.
- Diagnosi e tre terapie: un genetista AI riassume il referto in tre o quattro frasi e propone tre passi concreti, per esempio aggiornare una libreria o ospitare i font in locale.
Limiti: si misura solo la homepage, così come la consegna il server. Manca quello che JavaScript carica dopo, e mancano i cookie impostati nel browser. I file raggruppati spesso non rivelano le loro librerie. Il referto è un controllo rapido, non un audit completo.
Il workflow
- Prelievo del campione: un piccolo script PHP carica la homepage e al massimo cinque file JavaScript dello stesso host (300 KB l'uno), solo per leggerne i banner di versione. Ogni indirizzo viene risolto prima e deve essere pubblico; i redirect li segue lo script stesso e controlla ogni passaggio. Le risorse esterne non le scarica mai.
- Sequenziamento: un nodo Code legge dall'HTML tutti gli script, i fogli di stile, i font, gli iframe e le immagini, classifica gli host come propri o esterni e riconosce circa 70 servizi e 50 librerie.
- Due laboratori in parallelo: il ramo OSV manda tutte le versioni in una sola chiamata a
api.osv.dev/v1/querybatche poi carica le schede dei risultati (numero CVE, gravità). Nello stesso momento il posto di controllo misura header di sicurezza e TLS. Un nodo Merge aspetta entrambi. - Referto e AI: un nodo Code trasforma i risultati in coppie di basi. Il genetista è gpt-oss-120b su IONOS in Germania. Riceve solo i valori misurati e non deve inventare nulla. Se non risponde, un modello di testo scrive diagnosi e terapie con gli stessi numeri.
- Condivisione: ogni campione ha un link e un'immagine di anteprima con l'elica e il contatore. Chi l'ha creato può cancellarlo.
Costruiscilo tu
Il workflow è pronto come JSON da importare. I segnaposto sono evidenziati: l'indirizzo del prelievo, il posto di controllo, il token e la pagina che riceve il risultato. Per il prelievo ti serve un piccolo endpoint tuo con protezione SSRF. OSV.dev è gratuito e non chiede chiavi. Per l'AI va bene qualsiasi API compatibile con OpenAI.
Lo schema serve anche nella pratica: sequenziare la propria homepage una volta a settimana e mandare una mail quando compare una nuova terza parte o una nuova CVE. Altri workflow da cliccare e scaricare sono nella panoramica n8n.