Una pagella per il tuo sito: header di sicurezza, protezione e-mail e certificato, con i voti come a scuola

Prima provalo: inserisci un dominio nella pagella, aspetta qualche secondo e ricevi la pagella di quel sito. C'è un pulsante demo con il mio sito, che prende 9.

Cosa viene valutato

• Header di sicurezza (40 %): HSTS, Content-Security-Policy, nosniff, protezione dai frame, Referrer-Policy, Permissions-Policy, COOP e se il server rivela la sua versione. Stesso punteggio del controllo header.
• Protezione e-mail (35 %): SPF e come termina (-all o ~all), DMARC e la sua policy (reject, quarantine o none), i report DMARC e MTA-STS. Da questo dipende quanto è facile inviare mail false a nome del tuo dominio.
• Certificato TLS (25 %): valido, affidabile, corrispondente al nome, giorni rimanenti e versione del protocollo.

Il punteggio complessivo diventa un voto in decimi; nella versione tedesca un voto da 1 a 6, in quella inglese da A a F. Da 6 in su si è promossi, poi rimandati, sotto bocciati.

Il giudizio del professore

Sotto i voti il prof aggiunge da due a quattro note, scelte dai punti più deboli: «Content-Security-Policy assente. Compiti per la settimana prossima.» oppure «DMARC su p=none: osserva con attenzione, ma non interviene mai.» Sono scherzose, ma ognuna indica un problema reale, e ogni materia porta allo strumento dettagliato che spiega come risolverlo.

Fatta per essere condivisa

Ogni pagella ha un suo link. Se la condividi su WhatsApp, LinkedIn o Telegram, l'anteprima mostra la pagella stessa, con i voti e il cerchio rosso attorno al voto finale: le app di messaggi non eseguono JavaScript e ricevono un'immagine disegnata dal server. L'idea: controlli il tuo sito, pubblichi il voto, e un collega controlla il suo.

Come funziona

Un endpoint PHP esegue in una sola richiesta i tre controlli già presenti su questo sito, trasforma i risultati in voti, scrive i giudizi in tre lingue e disegna l'immagine di anteprima con GD. Non si salva altro, si leggono solo informazioni pubbliche (header HTTP, record DNS, il certificato), e ogni visitatore può chiedere dieci pagelle all'ora.

Per confrontarti con siti noti, la classifica header e la classifica e-mail mostrano gli stessi controlli per circa 100 domini.