L’hosting gestito include servizi di sicurezza?

Pubblicato il 24 ottobre 2026

L’hosting gestito include la sicurezza? Di solito sì, ma non tutte le attività di sicurezza e non con lo stesso livello di approfondimento per ogni piano. Un provider di hosting gestito dovrebbe proteggere e mantenere il livello server di cui è responsabile: il sistema operativo, i servizi di base, il monitoraggio, il processo di applicazione delle patch e gli strumenti di ripristino. La tua applicazione, gli account utente, le impostazioni di pagamento e i dati che carichi potrebbero comunque richiedere l’intervento del tuo team.

Questo confine è importante. “Gestito” non è uno scudo magico che protegge ogni plugin, password e riga di codice. È un accordo operativo. Prima di trasferire un sito di produzione, un negozio, un’API o un carico di lavoro cliente, assicurati che l’accordo specifichi esattamente cosa viene monitorato, aggiornato, sottoposto a backup e supportato.

L’hosting gestito include la sicurezza per impostazione predefinita?

Un servizio di hosting gestito correttamente include normalmente la sicurezza di base del server. In genere, il provider prepara il server con una configurazione iniziale sicura, limita gli accessi di rete non necessari, applica gli aggiornamenti del sistema operativo, monitora i problemi di disponibilità e garantisce l’accesso a tecnici del supporto in grado di esaminare i problemi dell’infrastruttura.

Il pacchetto esatto è comunque importante. Per alcuni provider, “gestito” significa che riavvieranno un server dopo l’apertura di un ticket. Altri monitorano attivamente i servizi, rispondono agli avvisi, gestiscono i backup, aiutano con la configurazione e mantengono aggiornato il sistema operativo. Sono livelli di servizio molto diversi, ma con la stessa etichetta.

Per un carico di lavoro aziendale, chiedi se la gestione è proattiva o basata sulle richieste. La gestione proattiva permette agli avvisi di innescare un intervento prima che un cliente si accorga di un’interruzione del servizio. Con la gestione basata sulle richieste, il server potrebbe essere mantenuto solo dopo che hai segnalato un problema. Nessuna delle due opzioni è necessariamente sbagliata, ma la seconda lascia più lavoro operativo a tuo carico.

La sicurezza di cui dovrebbe occuparsi il provider

A livello di infrastruttura, il provider dovrebbe essere responsabile della protezione dell’hardware fisico, dell’ambiente del data center, della piattaforma di virtualizzazione e della rete principale. Con un VPS gestito o un server dedicato, il provider dovrebbe inoltre indicare chiaramente come gestisce l’applicazione delle patch al sistema operativo, il monitoraggio dei servizi, la configurazione del firewall, i sistemi di backup e l’accesso al supporto di emergenza.

Un buon servizio gestito prevede anche una procedura definita per gli avvisi di sicurezza. Se emerge una vulnerabilità grave del sistema operativo o di un servizio web, qualcuno dovrebbe monitorare gli avvisi, valutare l’esposizione e programmare o applicare gli aggiornamenti necessari. Quando viene svolto bene, questo lavoro è poco visibile. Come una sala server pulita, non è entusiasmante: ed è proprio questo il punto.

Anche i backup fanno parte della sicurezza. Non impediscono un’intrusione, ma riducono i danni causati da ransomware, aggiornamenti non riusciti, eliminazioni accidentali o da uno sviluppatore che distribuisce con entusiasmo direttamente in produzione. I backup gestiti dovrebbero prevedere una policy di conservazione, una procedura di ripristino chiara e una separazione sufficiente dal server principale, così che un singolo incidente non elimini entrambe le copie.

La sicurezza di cui spesso devi occuparti tu

Con l’aggiunta di software, il confine delle responsabilità condivise si sposta verso l’alto. Un provider di hosting può proteggere il server, ma non può decidere in sicurezza quale plugin di WordPress serve ancora al tuo team marketing, se un ruolo applicativo dispone di troppe autorizzazioni o se un dipendente ha riutilizzato una password di un altro servizio.

Di solito tu o il tuo sviluppatore restate responsabili degli aggiornamenti delle applicazioni, della sicurezza del codice, delle estensioni del sistema di gestione dei contenuti, degli account amministratore, delle chiavi API, delle autorizzazioni del database e dei dati personali raccolti dall’applicazione. Se gestisci un negozio online, devi inoltre mantenere le impostazioni di sicurezza delle integrazioni per i pagamenti, le spedizioni e l’assistenza clienti.

Questo non significa che il provider si sottragga al lavoro. È un necessario confine di accesso. Un provider che modifica in silenzio il codice dell’applicazione o elimina un plugin che non conosce potrebbe interrompere un processo aziendale nel momento peggiore. Una chiara assegnazione delle responsabilità è più sicura delle supposizioni fatte per aiutare.

Come dovrebbe essere in pratica la sicurezza gestita

Le dichiarazioni sulla sicurezza sono utili solo se corrispondono a operazioni concrete. Cerca un provider in grado di spiegare cosa succede dal momento in cui viene preparato un server fino alla ricezione di un avviso, all’applicazione di un aggiornamento, al ripristino di un backup o alla gestione di una sospetta compromissione.

Come minimo, il servizio dovrebbe coprire queste aree operative:

• Gestione delle patch: chi installa gli aggiornamenti del sistema operativo e dei servizi principali, come vengono gestite le correzioni urgenti e se per le modifiche che potrebbero richiedere un riavvio vengono previste finestre di manutenzione.
• Monitoraggio e avvisi: quali servizi vengono controllati, se i tecnici ricevono avvisi in ogni momento e quale intervento segue un controllo non riuscito o un comportamento anomalo delle risorse.
• Protezione degli accessi: come vengono controllati, registrati e revocati quando non sono più necessari gli accessi SSH, al pannello di controllo, root e al supporto.
• Backup e ripristino: con quale frequenza vengono eseguiti i backup, per quanto tempo vengono conservati, dove sono archiviati e se è inclusa l’assistenza al ripristino.
• Risposta agli incidenti: chi indaga su una sospetta violazione, quali prove vengono conservate, con quale rapidità vieni avvisato e dove termina la responsabilità del provider.

Per ottenere risposte utili non ti serve un documento di policy di 40 pagine. È meglio definire l’ambito del servizio in modo conciso e specifico. “Offriamo sicurezza” è vago. “Monitoriamo la disponibilità del server 24/7, manteniamo aggiornato il sistema operativo supportato, eseguiamo backup programmati e assistiamo nel ripristino” è una descrizione su cui puoi fare affidamento.

La sicurezza di un VPS gestito non equivale alla sicurezza delle applicazioni

Un VPS gestito ti offre più controllo rispetto all’hosting condiviso e, con questo controllo, arrivano più possibilità di scelta. Potresti poter installare servizi personalizzati, impostare regole del firewall, esportare metriche, configurare processi cron e distribuire più applicazioni su un unico server. Questa flessibilità è preziosa per le agenzie e i team SaaS, ma rende ancora più importante definire i limiti del supporto.

Per esempio, il provider potrebbe occuparsi della sicurezza dell’hypervisor VPS, del sistema operativo e dello stack di gestione standard. Il tuo team potrebbe essere responsabile della configurazione Docker, del servizio Node.js personalizzato, del comportamento delle query del database e dei segreti archiviati nella pipeline di distribuzione. Se un container è esposto su una porta non necessaria, di solito si tratta di un problema di configurazione dell’applicazione, anche se il VPS sottostante è completamente aggiornato.

Il provider gestito giusto ti aiuta a identificare il confine prima che si verifichi un incidente. Su kodu.cloud, l’infrastruttura gestita è affiancata da monitoraggio, backup e supporto umano, così i clienti non devono ritrovarsi da soli a leggere i log del server alle 2 di notte. In ogni caso, la configurazione più sicura è quella in cui entrambe le parti sanno chi controlla ciascun livello.

Domande da fare prima dell’acquisto

Fai queste domande prima della migrazione, non dopo aver ricevuto nella posta in arrivo un avviso di sicurezza con un timestamp che nessuno vorrebbe vedere. Per prima cosa, verifica se gli aggiornamenti del sistema operativo sono inclusi e se vengono applicati automaticamente, secondo una pianificazione o in seguito all’apertura di un ticket. Poi chiedi quali servizi vengono monitorati e se il monitoraggio riguarda solo i tempi di attività oppure anche lo spazio su disco, la pressione della memoria, i backup non riusciti e i processi critici.

Poi chiedi come funzionano i ripristini dei backup. Un backup che esiste ma non può essere ripristinato rapidamente è solo una storia rassicurante. Scopri se i ripristini sono autonomi o assistiti da un tecnico, se comportano costi aggiuntivi e se vengono testati periodicamente.

Chiedi anche cosa succede in caso di sospetta compromissione. Il provider isolerà il server, conserverà i log, aiuterà a ruotare le credenziali e assisterà nel ripristino? O si limiterà a confermare che la macchina è online? La risposta ti aiuta a decidere se ti serve un partner esterno per la sicurezza, un contratto di assistenza con uno sviluppatore o procedure interne più solide.

Infine, esamina le opzioni di accesso al pannello di controllo e agli account. L’autenticazione a più fattori, gli account utente separati, le autorizzazioni limitate e la revoca tempestiva degli accessi degli ex dipendenti prevengono molti incidenti evitabili. Gli strumenti di sicurezza sofisticati sono utili, ma una corretta igiene degli account fa comunque un lavoro molto importante.

Costruisci la sicurezza in base ai rischi effettivi

Un sito vetrina con un semplice modulo di contatto non necessita degli stessi controlli di un negozio che elabora migliaia di ordini o di una piattaforma SaaS che conserva i dati dei clienti. Il piano di hosting gestito dovrebbe essere proporzionato all’impatto aziendale dei tempi di inattività e della perdita di dati. I carichi di lavoro a rischio più elevato potrebbero richiedere un’infrastruttura isolata, policy firewall più rigorose, backup esterni al server, scansioni delle vulnerabilità, verifiche degli accessi e un piano documentato per la gestione degli incidenti.

Per molte piccole e medie imprese, l’obiettivo pratico non è creare una versione in miniatura di un reparto di sicurezza aziendale. Si tratta di eliminare i punti deboli prevedibili: patch ritardate, assenza di monitoraggio, credenziali deboli, backup mai testati e incertezza su chi interviene per primo. Una volta sotto controllo questi aspetti, il servizio torna a essere tranquillo.

L’hosting gestito dovrebbe ridurre il carico di lavoro legato alla sicurezza, non trasformarla in un mistero affidato a qualcun altro. Scegli un provider che definisca chiaramente le proprie responsabilità, mantieni la responsabilità del livello applicativo e testa il ripristino prima di averne bisogno.

Andres Saar, tecnico dell’assistenza clienti