[{"data":1,"prerenderedAt":1035},["ShallowReactive",2],{"blog-post-it-what-is-permissions-policy":3,"related-posts-it-what-is-permissions-policy":171},{"post":4,"slugMap":170},{"id":5,"title":6,"author":7,"body":8,"category":132,"date":133,"description":134,"extension":135,"faq":136,"meta":158,"navigation":159,"path":160,"readingTime":161,"seo":162,"slug":163,"stem":164,"tags":165,"__hash__":169},"blog\u002Fblog\u002Fit\u002Fwhat-is-permissions-policy.md","Che cos'è l'header Permissions-Policy e perché è importante?","EuroraCloud Team",{"type":9,"value":10,"toc":120},"minimark",[11,15,19,24,27,30,34,49,55,59,62,65,69,72,75,79,82,85,88,92,95,98,102,105,113,117],[12,13,6],"h1",{"id":14},"che-cosè-lheader-permissions-policy-e-perché-è-importante",[16,17,18],"p",{},"L'header Permissions-Policy è un header di risposta che permette a un sito web di controllare quali funzionalità del browser le sue pagine, e qualsiasi contenuto incorporato in esse, possono usare. Funzionalità come camera, microfono, geolocalizzazione e pagamento possono essere ciascuna consentite, limitate alla tua origine, o disattivate del tutto. Impostarlo significa che anche se uno script o una terza parte incorporata tenta di raggiungere una di quelle funzionalità, il browser rifiuta a meno che la tua policy non lo consenta, il che riduce sia la tua esposizione alla privacy sia la tua superficie di attacco.",[20,21,23],"h2",{"id":22},"perché-esiste-lheader-permissions-policy","Perché esiste l'header Permissions-Policy?",[16,25,26],{},"I browser moderni espongono molte potenti capacità alle pagine web: posizione, camera, microfono, sensori di movimento e altro. Qualsiasi script in esecuzione sulla tua pagina, inclusi gli script di terze parti che hai incorporato per analytics, chat o pubblicità, può in linea di principio chiedere al browser di usare quelle capacità. Permissions-Policy esiste perché tu possa dichiarare, a livello dell'intero sito, quali di quelle funzionalità sono consentite e per chi.",[16,28,29],{},"Lo scopo è chiudere il divario tra ciò che un browser può fare e ciò di cui il tuo sito ha davvero bisogno. La maggior parte dei siti web non usa mai l'accelerometro o la payment API, eppure senza una policy quelle funzionalità restano raggiungibili da qualsiasi codice sulla pagina. Secondo la documentazione di MDN, quando una policy blocca una funzionalità all'utente non viene nemmeno chiesto il permesso, e il tentativo di uno script di usarla semplicemente fallisce, che è esattamente il contenimento che vuoi per le funzionalità che non hai mai avuto intenzione di usare.",[20,31,33],{"id":32},"che-cosa-fa-davvero-lheader-permissions-policy","Che cosa fa davvero l'header Permissions-Policy?",[16,35,36,37,43,44,48],{},"L'header funziona come un elenco di direttive, una per funzionalità, ciascuna con una allowlist che indica quali origini possono usarla. La sintassi è il nome della funzionalità, un segno di uguale, e le origini consentite tra parentesi, con più direttive separate da virgole, ad esempio geolocation=(), camera=(self). Una allowlist vuota, scritta (), disattiva la funzionalità ovunque; self la consente solo sulla tua origine; un'origine specifica come (\"",[38,39,40],"a",{"href":40,"rel":41},"https:\u002F\u002Fexample.com",[42],"nofollow","\") consente quell'origine; e ",[45,46,47],"code",{},"*"," la consente ovunque, inclusi i frame incorporati.",[16,50,51,52,54],{},"Un dettaglio utile è che ogni funzionalità ha una allowlist predefinita che si applica quando non dici nulla, e a seconda della funzionalità quel valore predefinito è uno tra ",[45,53,47],{},", self o nessuno. Il valore di impostare l'header esplicitamente è quindi che smetti di affidarti ai valori predefiniti per funzionalità e prendi invece una decisione deliberata e uniforme: disattiva tutto ciò che non usi, e limita tutto ciò che usi alla tua origine o ai partner specifici che ne hanno bisogno.",[20,56,58],{"id":57},"come-si-comporta-lheader-con-gli-iframe-incorporati","Come si comporta l'header con gli iframe incorporati?",[16,60,61],{},"Questa è la parte su cui la maggior parte delle persone inciampa, quindi vale la pena essere precisi. Una funzionalità è disponibile all'interno di un iframe incorporato solo se sono soddisfatte due condizioni insieme: la tua pagina di primo livello deve consentire la funzionalità per l'origine di quel frame nella sua Permissions-Policy, e l'iframe stesso non deve averla disattivata. In altre parole, la pagina genitore fissa il confine esterno, e nulla di ciò che è incorporato può concedersi una funzionalità che la pagina genitore ha negato.",[16,63,64],{},"C'è anche un controllo per iframe che funziona insieme all'header, l'attributo allow sull'elemento iframe, ad esempio una mappa incorporata aggiunta con un frame il cui attributo allow consente geolocation. Il modello mentale da tenere è che l'header è la policy a livello di sito e l'attributo allow è l'eccezione per singola incorporazione al suo interno: il frame può ricevere solo ciò che l'header già consente, e l'attributo poi lo restringe o lo indirizza a quella specifica incorporazione. È esattamente per questo che un widget di terze parti a volte segnala che una funzionalità è bloccata anche se il codice del widget è corretto, perché la pagina contenitore non ha mai consentito quella funzionalità per l'origine del widget.",[20,66,68],{"id":67},"cosa-succede-se-non-lo-imposti","Cosa succede se non lo imposti?",[16,70,71],{},"Senza l'header, ogni funzionalità ricade sulla propria allowlist predefinita, che per diverse funzionalità è più permissiva di quanto un sito tipico richieda. In pratica questo significa che capacità che non usi mai restano raggiungibili, e che il contenuto di terze parti incorporato potrebbe essere in grado di richiedere funzionalità che non avresti concesso se ti fossero state chieste.",[16,73,74],{},"Di solito non è una falla urgente, ed è per questo che resta non affrontata, ma è reale. Pesa di più dove incorpori codice che non hai scritto: un tag di analytics, un widget di chat, un pixel di marketing. Limitare le funzionalità che non usi riduce ciò che tutto quel codice incorporato può tentare, ed è esattamente il tipo di header mancante che gli scanner di sicurezza e gli audit ora segnalano su quasi ogni sito che non lo ha impostato.",[20,76,78],{"id":77},"come-implementi-lheader-permissions-policy","Come implementi l'header Permissions-Policy?",[16,80,81],{},"Imposti Permissions-Policy come un singolo header di risposta HTTP. Una policy di partenza sensata è disattivare le funzionalità che sai di non usare e limitare il resto alla tua origine, ad esempio Permissions-Policy: geolocation=(), camera=(), microphone=(), payment=(), per poi allentare singole direttive solo dove esiste un'esigenza reale. Può essere applicato sul web server, nel livello applicativo, o al margine in un CDN o in un livello di sicurezza davanti al sito.",[16,83,84],{},"Aiuta vederlo su un sito reale anziché in astratto. Prendi un sito di una clinica che mostra una mappa incorporata così che i pazienti trovino lo studio, e fa girare uno strumento di prenotazione online che apre un passaggio di pagamento, ma non ha altro uso delle funzionalità del browser. Una policy su misura per quel sito disattiverebbe tutto ciò che non tocca mai e consentirebbe solo ciò di cui quelle due funzioni hanno bisogno: geolocation limitata all'origine del fornitore della mappa, payment limitato al fornitore di prenotazione o pagamento, e camera, microfono e i vari sensori tutti disattivati con una allowlist vuota. Il risultato è una pagina in cui la mappa e il checkout funzionano esattamente come prima, mentre ogni altra capacità è semplicemente non disponibile per qualsiasi script, che sia tuo o di una terza parte incorporata. Il principio si generalizza: elenca ciò che il sito usa davvero, consentilo alle origini specifiche che lo forniscono, e chiudi il resto.",[16,86,87],{},"Testa prima di bloccarlo. L'header ha un compagno report-only, Permissions-Policy-Report-Only, che usa la Reporting API del browser per dirti cosa una policy bloccherebbe senza applicarla davvero. Eseguirlo prima è il modo sicuro per scoprire se una funzionalità reale, una mappa che ha bisogno di geolocation, uno strumento di prenotazione che apre un flusso di pagamento, un video incorporato, verrebbe catturata dalla tua policy, così da consentirla deliberatamente anziché romperla di sorpresa.",[20,89,91],{"id":90},"cosa-cambia-sul-tuo-sito-una-volta-attivato","Cosa cambia sul tuo sito una volta attivato?",[16,93,94],{},"Per la maggior parte dei siti, nulla di visibile. Le pagine normali che non usano funzionalità limitate si comportano esattamente come prima, e i visitatori non notano nulla, perché la policy interviene solo quando del codice tenta di raggiungere una funzionalità che non hai consentito.",[16,96,97],{},"Il punto da controllare è qualsiasi funzionalità su cui il tuo sito fa davvero affidamento, e qualsiasi cosa serva alle tue terze parti incorporate. Un localizzatore di negozi che usa geolocation, una funzione di videochiamata che usa camera e microfono, o un checkout che usa la payment API devono avere tutti le loro direttive impostate per consentire le origini giuste, che è precisamente perché il test in report-only conta prima dell'applicazione. Fai bene questo una volta e l'header tiene poi silenziosamente la linea, consentendo ciò che intendevi e rifiutando tutto il resto.",[20,99,101],{"id":100},"cosa-dovresti-fare-adesso","Cosa dovresti fare adesso?",[16,103,104],{},"Comincia col controllare se il tuo sito invia affatto un header Permissions-Policy, perché senza di esso ogni funzionalità ricade semplicemente sul suo valore predefinito. Se manca, la via a basso rischio è aggiungerlo in modalità report-only, elencare le funzionalità che usi davvero, confermare che nulla su cui fai affidamento venga bloccato, e poi applicare una policy che disattiva tutto il resto.",[16,106,107,108],{},"Se desideri che questo venga esaminato e configurato correttamente su tutto il tuo sito anziché a pezzi, EuroraCloud può controllare i tuoi security header attuali e mostrarti cosa risolve la nostra piattaforma. ",[38,109,112],{"href":110,"rel":111},"https:\u002F\u002Fwww.euroracloud.eu\u002F",[42],"Scopri cosa risolve EuroraCloud",[20,114,116],{"id":115},"conclusione-cosa-dovresti-portare-con-te-sullheader-permissions-policy","Conclusione: cosa dovresti portare con te sull'header Permissions-Policy?",[16,118,119],{},"Permissions-Policy è un header silenzioso e pratico: ti permette di disattivare le funzionalità del browser che il tuo sito non usa mai e di limitare quelle che usa alle sole origini che ne hanno bisogno, così che né i tuoi script né le terze parti incorporate possano raggiungere capacità che non hai mai voluto esporre. Il modo sicuro di adottarlo è testare in modalità report-only, confermare che le tue funzionalità reali funzionino ancora, e poi applicare una policy che disattiva il resto. Il passo più utile è controllare se il tuo sito invia l'header oggi, perché finché non lo fa, ogni funzionalità resta sul suo valore predefinito.",{"title":121,"searchDepth":122,"depth":122,"links":123},"",2,[124,125,126,127,128,129,130,131],{"id":22,"depth":122,"text":23},{"id":32,"depth":122,"text":33},{"id":57,"depth":122,"text":58},{"id":67,"depth":122,"text":68},{"id":77,"depth":122,"text":78},{"id":90,"depth":122,"text":91},{"id":100,"depth":122,"text":101},{"id":115,"depth":122,"text":116},"Security Header","2026-07-13","L'header Permissions-Policy permette a un sito di decidere quali funzionalità del browser, come camera, microfono e geolocalizzazione, le sue pagine e i contenuti incorporati possono usare. Ecco cosa fa, come impostarlo e cosa cambia quando lo fai.","md",[137,139,141,144,147,149,152,155],{"question":23,"answer":138},"I browser moderni espongono capacità potenti come posizione, camera, microfono e sensori di movimento, e qualsiasi script sulla tua pagina, incluso codice di terze parti incorporato, può in linea di principio chiedere di usarle. Permissions-Policy esiste perché tu possa dichiarare a livello di sito quali funzionalità sono consentite e per chi, chiudendo il divario tra ciò che un browser può fare e ciò di cui il tuo sito ha bisogno. Quando una policy blocca una funzionalità all'utente non viene nemmeno chiesto e il tentativo di uno script semplicemente fallisce.",{"question":33,"answer":140},"L'header è un elenco di direttive, una per funzionalità, ciascuna con una allowlist di origini che possono usarla. La sintassi è il nome della funzionalità, un segno di uguale, e le origini consentite tra parentesi, con direttive separate da virgole, ad esempio geolocation=(), camera=(self). Una allowlist vuota () disattiva la funzionalità ovunque, self consente solo la tua origine, un'origine specifica consente quell'origine, e * la consente ovunque. Ogni funzionalità ha anche una allowlist predefinita di *, self o nessuno che si applica quando non dici nulla.",{"question":142,"answer":143},"Come si comporta l'header Permissions-Policy con gli iframe incorporati?","Una funzionalità è disponibile all'interno di un iframe incorporato solo se sono soddisfatte due condizioni insieme: la tua pagina di primo livello deve consentire la funzionalità per l'origine di quel frame, e l'iframe stesso non deve averla disattivata. La pagina genitore fissa il confine esterno e nulla di incorporato può concedersi una funzionalità che la pagina genitore ha negato. L'attributo allow sull'elemento iframe funziona inoltre come eccezione per singola incorporazione: il frame può ricevere solo ciò che l'header già consente.",{"question":145,"answer":146},"Cosa succede se non imposti l'header Permissions-Policy?","Senza l'header, ogni funzionalità ricade sulla propria allowlist predefinita, più permissiva di quanto un sito tipico richieda per diverse funzionalità. Capacità che non usi mai restano raggiungibili, e il contenuto di terze parti incorporato può richiedere funzionalità che non avresti concesso. Raramente è urgente, ed è per questo che resta non affrontato, ma pesa di più dove incorpori codice che non hai scritto, come un tag di analytics, un widget di chat o un pixel di marketing, e gli scanner lo segnalano ora su quasi ogni sito che non lo ha impostato.",{"question":78,"answer":148},"Imposti Permissions-Policy come un singolo header di risposta HTTP, sul web server, nel livello applicativo o al margine. Una policy di partenza sensata disattiva le funzionalità che non usi e limita il resto alla tua origine, ad esempio geolocation=(), camera=(), microphone=(), payment=(). Testa prima con il compagno report-only, Permissions-Policy-Report-Only, che usa la Reporting API del browser per dirti cosa una policy bloccherebbe senza applicarla, così da consentire deliberatamente le funzionalità reali anziché romperle di sorpresa.",{"question":150,"answer":151},"Cosa cambia sul tuo sito una volta attivato l'header Permissions-Policy?","Per la maggior parte dei siti non cambia nulla di visibile, perché la policy interviene solo quando del codice tenta di raggiungere una funzionalità che non hai consentito. Il punto da controllare è qualsiasi funzionalità su cui il tuo sito fa affidamento e qualsiasi cosa serva alle tue terze parti incorporate, come un localizzatore di negozi con geolocation, una funzione video con camera e microfono, o un checkout con la payment API, che devono avere tutte le direttive impostate per consentire le origini giuste. Per questo il test in report-only conta prima dell'applicazione.",{"question":153,"answer":154},"Cosa dovresti fare adesso riguardo all'header Permissions-Policy?","Controlla se il tuo sito invia un header Permissions-Policy, perché senza di esso ogni funzionalità ricade sul suo valore predefinito. Se manca, aggiungilo in modalità report-only, elenca le funzionalità che usi davvero, conferma che nulla su cui fai affidamento venga bloccato, e poi applica una policy che disattiva tutto il resto.",{"question":156,"answer":157},"Cosa dovresti portare con te sull'header Permissions-Policy?","Permissions-Policy ti permette di disattivare le funzionalità del browser che il tuo sito non usa mai e di limitare quelle che usa alle sole origini che ne hanno bisogno, così che né i tuoi script né le terze parti incorporate possano raggiungere capacità che non hai mai voluto esporre. Il modo sicuro di adottarlo è testare in modalità report-only, confermare che le tue funzionalità reali funzionino ancora, e poi applicare una policy che disattiva il resto. Il passo più utile è controllare se il tuo sito invia l'header oggi, perché finché non lo fa, ogni funzionalità resta sul suo valore predefinito.",{},true,"\u002Fblog\u002Fit\u002Fwhat-is-permissions-policy","8 minuti",{"title":6,"description":134},"what-is-permissions-policy","blog\u002Fit\u002Fwhat-is-permissions-policy",[166,132,167,168],"Permissions-Policy","Sicurezza web","Privacy","-GUblmiUDb2gL-r9u42e0yNgyqyJgLs3S_LIgFhu0cI",{"de":163,"en":163,"es":163,"fr":163,"it":163,"nl":163},[172,287,401],{"id":173,"title":174,"author":7,"body":175,"category":258,"date":133,"description":259,"extension":135,"faq":260,"meta":275,"navigation":159,"path":276,"readingTime":277,"seo":278,"slug":279,"stem":280,"tags":281,"__hash__":286},"blog\u002Fblog\u002Fit\u002Fwhat-is-a-ddos-attack.md","Che cos'è un attacco DDoS e come si protegge un sito web da esso?",{"type":9,"value":176,"toc":250},[177,180,183,187,195,198,202,205,208,211,215,218,221,225,228,231,233,236,243,247],[12,178,174],{"id":179},"che-cosè-un-attacco-ddos-e-come-si-protegge-un-sito-web-da-esso",[16,181,182],{},"Un attacco DDoS (Distributed Denial of Service, ovvero negazione distribuita del servizio) cerca di mettere offline un sito web inondandolo con molto più traffico di quanto ne possa gestire, inviato contemporaneamente da numerose macchine, finché i visitatori reali non riescono più a passare. Proteggersi significa filtrare quel traffico malevolo prima che raggiunga il server, tramite uno strato di mitigazione posto davanti al sito che assorbe o blocca l'attacco. L'obiettivo concreto è semplice: mantenere il sito accessibile agli utenti reali, anche mentre un attacco è in corso.",[20,184,186],{"id":185},"che-cosè-un-attacco-ddos","Che cos'è un attacco DDoS?",[16,188,189,190,194],{},"Un attacco di negazione del servizio mira a rendere un sito web o un servizio non disponibile. Un attacco di negazione ",[191,192,193],"em",{},"distribuita"," del servizio fa la stessa cosa da molte fonti contemporaneamente, spesso migliaia di dispositivi compromessi che agiscono insieme come una botnet, il che lo rende molto più difficile da fermare bloccando semplicemente un singolo indirizzo. Il traffico è progettato per esaurire una risorsa finita: le connessioni del server, la sua capacità di elaborazione, o la larghezza di banda della rete su cui gira.",[16,196,197],{},"La differenza essenziale rispetto a un normale picco di traffico sta nell'intenzione e nello schema. Una giornata di vendite intensa ti porta più visitatori reali, mentre un attacco DDoS ti invia traffico il cui unico scopo è consumare risorse ed estromettere i visitatori reali. Secondo i report sulle minacce DDoS di Cloudflare, il volume degli attacchi è cresciuto fortemente di anno in anno, e i più grandi attacchi registrati si misurano ormai in terabit al secondo, ben oltre ciò che un singolo server non protetto può assorbire.",[20,199,201],{"id":200},"come-funziona-davvero-un-attacco-ddos","Come funziona davvero un attacco DDoS?",[16,203,204],{},"La maggior parte degli attacchi rientra in tre grandi tipologie, ed è utile sapere quale sia quale, perché si difendono in modo diverso.",[16,206,207],{},"Gli attacchi volumetrici sono la variante a forza bruta: saturano la larghezza di banda disponibile con il puro volume, come un flood UDP, così che nient'altro riesca a passare. Gli attacchi di protocollo prendono di mira il modo in cui le connessioni vengono stabilite ed esauriscono le risorse del server o del firewall con, ad esempio, i SYN flood, che aprono connessioni senza mai completarle. Gli attacchi al livello applicativo sono i più silenziosi e spesso i più difficili da individuare: imitano il comportamento di un utente reale e inviano richieste che sembrano legittime, ma mirate alle parti più costose del tuo sito, come una funzione di ricerca o di login, finché l'applicazione non cede.",[16,209,210],{},"Ciò che i tre hanno in comune è che sovraccaricano una risorsa. La difesa è in ogni caso la stessa: identificare e rimuovere il traffico malevolo prima che raggiunga la risorsa presa di mira.",[20,212,214],{"id":213},"quanto-costa-un-attacco-ddos-a-unazienda","Quanto costa un attacco DDoS a un'azienda?",[16,216,217],{},"Il costo evidente è l'interruzione: finché il sito è irraggiungibile, i visitatori non possono prenotare, acquistare o contattarti, e per un sito in ambito sanitario o di una clinica questo può significare che i pazienti non riescono ad accedere alle informazioni di cura o ai moduli per gli appuntamenti. Le stime del settore collocano spesso il costo di un'interruzione web imprevista nell'ordine di diverse migliaia di euro all'ora per un'azienda che effettua transazioni, anche se la cifra reale dipende interamente da ciò che il tuo sito fa per te.",[16,219,220],{},"Anche i costi meno visibili contano. C'è il danno reputazionale di un sito visibilmente fuori uso, il tempo del personale impiegato a spegnere incendi, e in alcuni casi un attacco DDoS usato come cortina di fumo per distogliere l'attenzione da un secondo tentativo di intrusione. Per un'organizzazione regolamentata o orientata ai pazienti, un'interruzione solleva inoltre questioni di disponibilità e continuità che vanno oltre il fatturato perso.",[20,222,224],{"id":223},"come-fa-la-mitigazione-ddos-a-mantenere-un-sito-online","Come fa la mitigazione DDoS a mantenere un sito online?",[16,226,227],{},"Una mitigazione efficace pone uno strato di filtraggio tra Internet e il tuo server, così che il traffico venga ispezionato prima ancora di raggiungerti. I visitatori legittimi passano, mentre il traffico che corrisponde a schemi di attacco viene assorbito o scartato al margine, distribuito su un'infrastruttura con una capacità di gran lunga superiore a quella di un singolo server di origine.",[16,229,230],{},"Questo funziona meglio come uno strato sempre attivo piuttosto che come qualcosa che si accende nel bel mezzo di un attacco, perché i primi minuti di un attacco sono i minuti in cui si produce il danno. Un servizio di mitigazione vede il traffico per primo, riconosce le firme dei tipi di attacco descritti sopra, e scala per assorbire un volume che travolgerebbe il tuo hardware. In EuroraCloud la mitigazione DDoS viene eseguita dalla nostra infrastruttura decentralizzata nei Paesi Bassi, in Francia e in Germania, il che mantiene il traffico all'interno dell'Europa per ragioni di sovranità dei dati e di latenza, offrendo al contempo la capacità di assorbire attacchi di grandi dimensioni.",[20,232,101],{"id":100},[16,234,235],{},"Comincia col sapere se al momento disponi di uno strato di mitigazione, perché molti siti web sono protetti soltanto dalle impostazioni predefinite del loro provider di hosting, che spesso sono scarne. Se un attacco oggi mettesse offline il tuo sito, quella è la lacuna da colmare, indipendentemente dal fatto che tu sia mai stato colpito prima, perché tutto il senso della mitigazione è che sia già attiva quando un attacco inizia.",[16,237,238,239],{},"Se desideri vedere a che punto si trova il tuo sito, EuroraCloud può esaminare la tua configurazione attuale e mostrarti cosa risolve la nostra mitigazione. ",[38,240,112],{"href":241,"rel":242},"https:\u002F\u002Fwww.euroracloud.eu\u002F?utm_source=blog&utm_medium=article&utm_campaign=ddos",[42],[20,244,246],{"id":245},"conclusione-cosa-dovresti-portare-con-te-sulla-protezione-ddos","Conclusione: cosa dovresti portare con te sulla protezione DDoS?",[16,248,249],{},"Un attacco DDoS non ha bisogno di violare nulla per danneggiarti. Rende semplicemente il tuo sito irraggiungibile, e per un'azienda che dipende dal proprio sito web per informare, prenotare o vendere, un'ora offline è un costo reale. I tre tipi di attacco funzionano in modo diverso, ma la risposta a tutti e tre è la stessa: uno strato di mitigazione davanti al sito che filtra il traffico malevolo prima che arrivi. La cosa più utile che puoi fare è verificare se quello strato è già attivo oggi, perché la mitigazione ti protegge solo se è in funzione prima che un attacco inizi, non dopo.",{"title":121,"searchDepth":122,"depth":122,"links":251},[252,253,254,255,256,257],{"id":185,"depth":122,"text":186},{"id":200,"depth":122,"text":201},{"id":213,"depth":122,"text":214},{"id":223,"depth":122,"text":224},{"id":100,"depth":122,"text":101},{"id":245,"depth":122,"text":246},"Fondamenti","Un attacco DDoS inonda il tuo sito web di traffico finché i visitatori reali non riescono più ad accedervi. Ecco come funzionano questi attacchi, quanto costa davvero un'interruzione e come la mitigazione mantiene un sito online.",[261,263,265,267,269,272],{"question":186,"answer":262},"Un attacco DDoS (Distributed Denial of Service) cerca di rendere un sito web irraggiungibile inondandolo di traffico da molte fonti contemporaneamente, spesso migliaia di dispositivi compromessi che agiscono come una botnet. Il traffico è progettato per esaurire una risorsa finita, come le connessioni del server, la sua capacità di elaborazione o la larghezza di banda della rete, così che i visitatori reali non riescano più a passare.",{"question":201,"answer":264},"Gli attacchi rientrano in tre grandi tipologie. Gli attacchi volumetrici saturano la larghezza di banda disponibile con il puro volume. Gli attacchi di protocollo esauriscono le risorse del server o del firewall abusando del modo in cui vengono stabilite le connessioni, come i SYN flood. Gli attacchi al livello applicativo imitano il comportamento di un utente reale e mirano a funzioni costose come la ricerca o il login finché l'applicazione non cede. Tutti e tre sovraccaricano una risorsa, e la difesa consiste ogni volta nel rimuovere il traffico malevolo prima che raggiunga l'obiettivo.",{"question":214,"answer":266},"Il costo diretto è l'interruzione: finché il sito è irraggiungibile, i visitatori non possono prenotare, acquistare o contattarti. Le stime collocano spesso un'interruzione web imprevista nell'ordine di diverse migliaia di euro all'ora per un'azienda che effettua transazioni, anche se la cifra reale dipende da ciò che fa il sito. I costi indiretti comprendono il danno reputazionale, il tempo del personale impiegato a spegnere incendi e il rischio che un attacco DDoS venga usato come cortina di fumo per una seconda intrusione.",{"question":224,"answer":268},"La mitigazione pone uno strato di filtraggio tra Internet e il tuo server e ispeziona il traffico prima che ti raggiunga. I visitatori legittimi passano, mentre il traffico che corrisponde a schemi di attacco viene assorbito o scartato al margine, distribuito su un'infrastruttura con una capacità di gran lunga superiore a quella di un singolo server. Funziona meglio come uno strato sempre attivo piuttosto che come qualcosa che si accende nel bel mezzo di un attacco, perché i primi minuti sono quelli in cui si produce il danno.",{"question":270,"answer":271},"Cosa dovresti fare adesso per proteggere un sito web dal DDoS?","Comincia col verificare se disponi di uno strato di mitigazione, perché molti siti si affidano soltanto alle scarne impostazioni predefinite del loro provider di hosting. Se un attacco oggi mettesse offline il tuo sito, quella è la lacuna da colmare, indipendentemente dal fatto che tu sia stato colpito prima, perché la mitigazione aiuta solo se è già attiva quando un attacco inizia.",{"question":273,"answer":274},"Cosa dovresti portare con te sulla protezione DDoS?","Un attacco DDoS non ha bisogno di violare nulla per danneggiarti; rende semplicemente il tuo sito irraggiungibile, il che è un costo reale per qualsiasi azienda che dipende dal proprio sito web. I tre tipi di attacco funzionano in modo diverso, ma la risposta a tutti e tre è uno strato di mitigazione davanti al sito che filtra il traffico malevolo prima che arrivi. La cosa più utile è verificare se quello strato è già in funzione oggi, perché la mitigazione protegge solo se è attiva prima che un attacco inizi.",{},"\u002Fblog\u002Fit\u002Fwhat-is-a-ddos-attack","7 minuti",{"title":174,"description":259},"what-is-a-ddos-attack","blog\u002Fit\u002Fwhat-is-a-ddos-attack",[282,283,284,285],"DDoS","Sicurezza","Infrastruttura web","Disponibilità","CwSFZl1CXbIVT7OpQ7gkyQYqR06Oy-yKY_UVjk0e1H8",{"id":288,"title":289,"author":7,"body":290,"category":132,"date":133,"description":372,"extension":135,"faq":373,"meta":392,"navigation":159,"path":393,"readingTime":277,"seo":394,"slug":395,"stem":396,"tags":397,"__hash__":400},"blog\u002Fblog\u002Fit\u002Fwhat-is-cross-origin-opener-policy.md","Che cos'è l'header Cross-Origin-Opener-Policy e perché è importante?",{"type":9,"value":291,"toc":363},[292,295,298,302,305,308,312,315,318,320,323,326,330,333,336,338,341,344,346,349,356,360],[12,293,289],{"id":294},"che-cosè-lheader-cross-origin-opener-policy-e-perché-è-importante",[16,296,297],{},"L'header Cross-Origin-Opener-Policy, di solito scritto COOP, è un header di risposta che controlla se la tua pagina condivide una relazione di finestra con pagine di altre origini. Impostato su same-origin, isola il tuo documento in un proprio browsing context group, così che una pagina di un'altra origine che apre la tua, o che tu apri, non possa mantenere alcun riferimento scriptabile verso la tua finestra. Questo chiude una classe di attacchi cross-origin noti come XS-Leaks e attacchi side-channel, ed è inoltre l'impostazione che sblocca alcune potenti funzionalità del browser.",[20,299,301],{"id":300},"perché-esiste-lheader-cross-origin-opener-policy","Perché esiste l'header Cross-Origin-Opener-Policy?",[16,303,304],{},"COOP esiste perché l'apertura di una finestra crea un collegamento che può essere abusato. Quando una pagina ne apre un'altra con window.open(), o una pagina apre la tua, il browser può mantenere un riferimento tra le due finestre tramite la proprietà window.opener. Se queste due pagine provengono da origini diverse, quel riferimento diventa una via attraverso cui una pagina cross-origin può sondare la tua.",[16,306,307],{},"Gli attacchi che questo rende possibili sono sottili. Non rubano i tuoi dati direttamente, ma li deducono tramite side channel, timing e stato del browser condiviso, in una famiglia di tecniche che la comunità della sicurezza chiama XS-Leaks. Secondo la documentazione di Mozilla, COOP è stato introdotto proprio perché un sito possa garantire che il proprio documento di primo livello non condivida un browsing context group con documenti cross-origin, ed è esattamente ciò che recide quel riferimento e chiude la via.",[20,309,311],{"id":310},"che-cosa-fa-davvero-lheader-cross-origin-opener-policy","Che cosa fa davvero l'header Cross-Origin-Opener-Policy?",[16,313,314],{},"COOP decide se il tuo documento e le pagine con cui interagisce appartengono allo stesso browsing context group, il concetto interno al browser che determina se due finestre possono scriptarsi a vicenda. Quando lo imposti in modo rigoroso, la tua finestra entra in un proprio gruppo e ogni finestra cross-origin perde il suo riferimento verso la tua.",[16,316,317],{},"L'header ha un piccolo insieme di valori. Il valore predefinito, unsafe-none, non applica alcun isolamento e lascia che il tuo documento condivida un browsing context group con pagine cross-origin. Il valore rigoroso, same-origin, isola il tuo documento in modo che solo le pagine della stessa origine che impostano anch'esse same-origin possano restare nello stesso gruppo. Un valore intermedio, same-origin-allow-popups, mantiene quell'isolamento ma lascia funzionare normalmente i popup che apri deliberatamente, la scelta pratica per i siti che dipendono da flussi tramite popup come il pagamento o il single sign-on. Quando una finestra cross-origin viene aperta sotto same-origin, il suo window.opener diventa null, così il riferimento semplicemente non esiste.",[20,319,68],{"id":67},[16,321,322],{},"Senza COOP il valore predefinito è unsafe-none, il che significa nessun isolamento e il riferimento di finestra che resta aperto. Una pagina cross-origin che apre la tua, o che tu apri, può mantenere una presa sulla tua finestra e usarla come punto d'appoggio per le tecniche side-channel descritte sopra.",[16,324,325],{},"Questa è una lacuna silenziosa, non rumorosa. Nulla sul tuo sito sembra rotto, e la maggior parte dei visitatori non la attiverà mai, ed è proprio per questo che spesso resta non affrontata. Ma per un sito che tratta qualcosa di sensibile, un login, un portale pazienti, un passaggio di pagamento, lasciare aperta la relazione di finestra è un'esposizione evitabile, ed è una che scanner di sicurezza e audit segnalano sempre più come header mancante.",[20,327,329],{"id":328},"come-implementi-lheader-cross-origin-opener-policy","Come implementi l'header Cross-Origin-Opener-Policy?",[16,331,332],{},"Imposti COOP come un singolo header di risposta HTTP. Per la maggior parte dei siti il valore di partenza giusto è Cross-Origin-Opener-Policy: same-origin-allow-popups, che ti dà l'isolamento preservando i flussi tramite popup; un sito senza tali dipendenze può passare al più rigoroso same-origin. Può essere aggiunto sul web server, nel livello applicativo, o al margine in un CDN o in un livello di sicurezza posto davanti al sito.",[16,334,335],{},"L'unica raccomandazione forte è: testa prima di imporre. COOP supporta una modalità report-only, inviata come Cross-Origin-Opener-Policy-Report-Only, che usa la Reporting API del browser per dirti cosa la policy romperebbe senza romperlo davvero. Eseguire prima in report-only, tenere d'occhio i flussi di popup o di finestra che verrebbero colpiti, e solo dopo passare all'header imposto è la via sicura, soprattutto su un sito con integrazioni di terze parti che non hai costruito tu.",[20,337,91],{"id":90},[16,339,340],{},"Per la maggior parte dei siti, nulla di visibile. I normali caricamenti di pagina, la navigazione e il comportamento same-origin non sono influenzati, e l'isolamento avviene in modo invisibile a livello di browser. Il vantaggio che ottieni è che le finestre cross-origin non possono più mantenere un riferimento verso la tua, il che rimuove la superficie di attacco senza toccare l'esperienza utente.",[16,342,343],{},"Il punto da controllare è qualsiasi flusso che apra deliberatamente un'altra origine o venga aperto da essa. Un fornitore di pagamenti, un identity provider, o uno strumento incorporato che comunica tramite riferimenti di finestra può essere colpito da un valore same-origin rigoroso, ed è proprio per questo che same-origin-allow-popups esiste e per cui il test in report-only conta. C'è anche un vantaggio che vale la pena conoscere: impostare same-origin, insieme all'header affine Cross-Origin-Embedder-Policy, porta il tuo documento in uno stato cross-origin isolated che alcune potenti funzionalità del browser richiedono, come SharedArrayBuffer e i timer ad alta risoluzione.",[20,345,101],{"id":100},[16,347,348],{},"Comincia col controllare se il tuo sito invia affatto un header Cross-Origin-Opener-Policy, perché l'assenza predefinita di header significa nessun isolamento. Se manca, la via a basso rischio è aggiungerlo in modalità report-only, confermare che nulla nei tuoi flussi di popup o di terze parti si rompa, e poi imporre same-origin-allow-popups come valore predefinito sensato, o same-origin se il tuo sito non ha dipendenze dai popup.",[16,350,351,352],{},"Se desideri che questo venga controllato e configurato correttamente su tutto il tuo sito anziché a pezzi, EuroraCloud può esaminare i tuoi security header attuali e mostrarti cosa risolve la nostra piattaforma. ",[38,353,112],{"href":354,"rel":355},"https:\u002F\u002Fwww.euroracloud.eu\u002F?utm_source=blog&utm_medium=article&utm_campaign=coop",[42],[20,357,359],{"id":358},"conclusione-cosa-dovresti-portare-con-te-sullheader-cross-origin-opener-policy","Conclusione: cosa dovresti portare con te sull'header Cross-Origin-Opener-Policy?",[16,361,362],{},"COOP è un header silenzioso ma prezioso: isola la tua finestra del browser dalle pagine cross-origin, chiudendo una classe di attacchi side-channel e tramite popup che non lasciano alcun segno visibile finché uno scanner o un aggressore non li trova. Per la maggior parte dei siti la via sicura è testare in modalità report-only, poi imporre same-origin-allow-popups, che protegge la finestra preservando i flussi popup legittimi. Il passo più utile è controllare se il tuo sito invia l'header oggi, perché finché non lo fa, il valore predefinito è nessun isolamento.",{"title":121,"searchDepth":122,"depth":122,"links":364},[365,366,367,368,369,370,371],{"id":300,"depth":122,"text":301},{"id":310,"depth":122,"text":311},{"id":67,"depth":122,"text":68},{"id":328,"depth":122,"text":329},{"id":90,"depth":122,"text":91},{"id":100,"depth":122,"text":101},{"id":358,"depth":122,"text":359},"L'header Cross-Origin-Opener-Policy permette a una pagina di isolare la propria finestra del browser dalle pagine cross-origin che la aprono o che vengono aperte da essa, chiudendo una classe di attacchi side-channel e tramite popup. Ecco cosa fa, come impostarlo e cosa cambia quando lo fai.",[374,376,378,381,383,386,389],{"question":301,"answer":375},"COOP esiste perché l'apertura di una finestra crea un collegamento scriptabile che può essere abusato. Quando una pagina ne apre un'altra, il browser può mantenere un riferimento tra le due finestre tramite window.opener, e se le pagine provengono da origini diverse, quel riferimento diventa una via attraverso cui una pagina cross-origin può sondare la tua tramite side channel e timing, una famiglia di tecniche nota come XS-Leaks. COOP permette a un sito di garantire che il proprio documento di primo livello non condivida un browsing context group con documenti cross-origin, il che recide quel riferimento.",{"question":311,"answer":377},"COOP decide se il tuo documento e le pagine con cui interagisce appartengono allo stesso browsing context group, il concetto interno al browser che determina se due finestre possono scriptarsi. Impostato in modo rigoroso, la tua finestra entra in un proprio gruppo e le finestre cross-origin perdono il loro riferimento verso la tua. I valori sono unsafe-none (predefinito, nessun isolamento), same-origin (isolamento rigoroso) e same-origin-allow-popups (isolamento che consente i popup che apri). Sotto same-origin, il window.opener di una finestra cross-origin diventa null.",{"question":379,"answer":380},"Cosa succede se non imposti l'header Cross-Origin-Opener-Policy?","Senza COOP il valore predefinito è unsafe-none, il che significa nessun isolamento e il riferimento di finestra che resta aperto. Una pagina cross-origin che apre la tua, o che tu apri, può mantenere una presa sulla tua finestra e usarla come punto d'appoggio per attacchi side-channel. Nulla sembra rotto, ed è per questo che resta non affrontato, ma per un sito con un login, un portale pazienti o un passaggio di pagamento è un'esposizione evitabile che gli scanner segnalano sempre più.",{"question":329,"answer":382},"Imposti COOP come un singolo header di risposta HTTP, sul web server, nel livello applicativo o al margine. Per la maggior parte dei siti il valore di partenza giusto è same-origin-allow-popups, che dà isolamento preservando i flussi tramite popup; un sito senza dipendenze dai popup può usare il più rigoroso same-origin. Testa prima di imporre usando la modalità report-only, inviata come Cross-Origin-Opener-Policy-Report-Only, che segnala cosa la policy romperebbe senza romperlo.",{"question":384,"answer":385},"Cosa cambia sul tuo sito una volta attivato l'header Cross-Origin-Opener-Policy?","Per la maggior parte dei siti non cambia nulla di visibile; i normali caricamenti di pagina e il comportamento same-origin non sono influenzati e l'isolamento avviene a livello di browser. Il punto da controllare è qualsiasi flusso che apra deliberatamente un'altra origine o venga aperto da essa, come un fornitore di pagamenti o di identità, ed è per questo che same-origin-allow-popups esiste e per cui il test in report-only conta. Impostare same-origin insieme a Cross-Origin-Embedder-Policy abilita anche uno stato cross-origin isolated che alcune potenti funzionalità come SharedArrayBuffer richiedono.",{"question":387,"answer":388},"Cosa dovresti fare adesso riguardo all'header Cross-Origin-Opener-Policy?","Controlla se il tuo sito invia un header Cross-Origin-Opener-Policy, perché nessun header significa nessun isolamento. Se manca, aggiungilo in modalità report-only, conferma che nulla nei tuoi flussi di popup o di terze parti si rompa, e poi imponi same-origin-allow-popups come valore predefinito sensato, o same-origin se il tuo sito non ha dipendenze dai popup.",{"question":390,"answer":391},"Cosa dovresti portare con te sull'header Cross-Origin-Opener-Policy?","COOP è un header silenzioso ma prezioso che isola la tua finestra del browser dalle pagine cross-origin, chiudendo una classe di attacchi side-channel e tramite popup che non lasciano alcun segno visibile. Per la maggior parte dei siti la via sicura è testare in modalità report-only, poi imporre same-origin-allow-popups, che protegge la finestra preservando i flussi popup legittimi. Il passo più utile è controllare se il tuo sito invia l'header oggi, perché finché non lo fa, il valore predefinito è nessun isolamento.",{},"\u002Fblog\u002Fit\u002Fwhat-is-cross-origin-opener-policy",{"title":289,"description":372},"what-is-cross-origin-opener-policy","blog\u002Fit\u002Fwhat-is-cross-origin-opener-policy",[398,132,167,399],"Cross-Origin-Opener-Policy","Isolamento del browser","j3mEIoS-l84dJhBX1N-NOdRJLd13oH80Q3zQjiOfDME",{"id":402,"title":403,"author":7,"body":404,"category":1022,"date":1023,"description":1024,"extension":135,"faq":1022,"meta":1025,"navigation":159,"path":1026,"readingTime":1022,"seo":1027,"slug":1028,"stem":1029,"tags":1030,"__hash__":1034},"blog\u002Fblog\u002Fit\u002Fcore-web-vitals-cdn.md","Core Web Vitals: Come un CDN Può Aiutare il Tuo Sito a Ottenere Punteggi Migliori",{"type":9,"value":405,"toc":1000},[406,413,416,419,422,426,429,434,441,447,452,468,472,475,481,487,492,506,510,516,522,527,541,545,548,552,557,560,563,568,571,597,602,605,609,612,617,620,625,628,639,642,647,650,661,665,670,673,678,681,695,700,703,707,710,714,719,728,731,736,742,745,749,752,779,783,786,806,810,813,834,838,841,846,857,862,873,876,880,885,888,893,896,901,904,909,912,916,919,924,927,932,946,951,954,959,962,966,969,972,984,986,996],[16,407,408,412],{},[409,410,411],"strong",{},"Parole chiave:"," Core Web Vitals, performance CDN, ottimizzazione LCP, miglioramento FID, correzione CLS, velocità del sito web, fattori di ranking Google, esperienza di pagina, ottimizzazione delle prestazioni web, CDN europeo",[414,415],"hr",{},[16,417,418],{},"Nel 2021, Google ha introdotto i Core Web Vitals come fattori di ranking ufficiali, cambiando fondamentalmente il modo in cui i proprietari di siti web pensano alle prestazioni. Queste metriche—Largest Contentful Paint (LCP), First Input Delay (FID) e Cumulative Layout Shift (CLS)—misurano l'esperienza utente reale e influenzano direttamente la tua visibilità nelle ricerche. Dal 2024, Google ha sostituito FID con Interaction to Next Paint (INP), rendendo l'interattività ancora più importante.",[16,420,421],{},"Se il tuo sito web fatica con i Core Web Vitals, non sei solo. Secondo dati recenti, circa il 40% dei siti web ancora non raggiunge le soglie di Google. La buona notizia? Un Content Delivery Network (CDN) correttamente configurato può migliorare drasticamente tutte e tre le metriche. In questa guida completa, esploreremo esattamente come.",[20,423,425],{"id":424},"comprendere-i-core-web-vitals-nel-2026","Comprendere i Core Web Vitals nel 2026",[16,427,428],{},"Prima di immergerci nell'ottimizzazione CDN, capiamo cosa misura ogni metrica e perché è importante.",[430,431,433],"h3",{"id":432},"largest-contentful-paint-lcp","Largest Contentful Paint (LCP)",[16,435,436,437,440],{},"LCP misura le prestazioni di caricamento—nello specifico, quanto tempo ci vuole perché l'elemento di contenuto visibile più grande venga renderizzato. Potrebbe essere un'immagine hero, una miniatura video o un grande blocco di testo. Google considera un buon LCP ",[409,438,439],{},"2,5 secondi o meno",".",[16,442,443,446],{},[409,444,445],{},"Perché LCP è importante:"," Gli utenti percepiscono una pagina come \"caricata\" quando possono vedere il contenuto principale. Un LCP lento significa che i visitatori fissano uno schermo vuoto o parzialmente caricato, aumentando il tasso di rimbalzo.",[16,448,449],{},[409,450,451],{},"Problemi comuni di LCP:",[453,454,455,459,462,465],"ul",{},[456,457,458],"li",{},"Tempi di risposta del server lenti",[456,460,461],{},"JavaScript e CSS che bloccano il rendering",[456,463,464],{},"Immagini grandi e non ottimizzate",[456,466,467],{},"Ritardi nel rendering lato client",[430,469,471],{"id":470},"interaction-to-next-paint-inp","Interaction to Next Paint (INP)",[16,473,474],{},"INP ha sostituito First Input Delay a marzo 2024 e misura la reattività complessiva durante l'intero ciclo di vita della pagina. Mentre FID misurava solo il ritardo della prima interazione, INP considera tutte le interazioni—clic, tap e input da tastiera—e riporta la peggiore (con un certo smoothing statistico).",[16,476,477,478,440],{},"Google considera un buon INP ",[409,479,480],{},"200 millisecondi o meno",[16,482,483,486],{},[409,484,485],{},"Perché INP è importante:"," Gli utenti si aspettano un feedback immediato quando interagiscono con il tuo sito web. Un pulsante lento o un form non responsivo sembrano rotti, anche se la pagina si è caricata velocemente.",[16,488,489],{},[409,490,491],{},"Problemi comuni di INP:",[453,493,494,497,500,503],{},[456,495,496],{},"Esecuzione JavaScript pesante che blocca il main thread",[456,498,499],{},"Script di terze parti che competono per le risorse",[456,501,502],{},"Event handler inefficienti",[456,504,505],{},"Operazioni DOM complesse durante le interazioni",[430,507,509],{"id":508},"cumulative-layout-shift-cls","Cumulative Layout Shift (CLS)",[16,511,512,513,440],{},"CLS misura la stabilità visiva—quanto il contenuto della pagina si sposta durante il caricamento. Ogni volta che un elemento cambia posizione inaspettatamente, contribuisce al tuo punteggio CLS. Google considera un buon CLS ",[409,514,515],{},"0,1 o meno",[16,517,518,521],{},[409,519,520],{},"Perché CLS è importante:"," Gli spostamenti di layout inaspettati sono frustranti. Stai per cliccare un link, e improvvisamente una pubblicità si carica sopra, spingendo tutto verso il basso. Ora hai cliccato sulla cosa sbagliata. CLS cattura quantitativamente questa frustrazione.",[16,523,524],{},[409,525,526],{},"Problemi comuni di CLS:",[453,528,529,532,535,538],{},[456,530,531],{},"Immagini e embed senza dimensioni definite",[456,533,534],{},"Contenuto iniettato dinamicamente",[456,536,537],{},"Web font che causano reflow del testo",[456,539,540],{},"Pubblicità e iframe che si caricano in ritardo",[20,542,544],{"id":543},"come-un-cdn-migliora-ogni-core-web-vital","Come un CDN Migliora Ogni Core Web Vital",[16,546,547],{},"Un CDN non riguarda solo la velocità—è un moltiplicatore di prestazioni che affronta più punti dolenti simultaneamente. Ecco come aiuta ogni metrica.",[430,549,551],{"id":550},"impatto-del-cdn-su-lcp","Impatto del CDN su LCP",[16,553,554],{},[409,555,556],{},"Riduzione del Time to First Byte (TTFB)",[16,558,559],{},"Il fattore più importante nel LCP è spesso TTFB—quanto tempo il browser aspetta prima di ricevere il primo byte di HTML. Quando il tuo server è a Francoforte e il tuo visitatore è a Madrid, ogni richiesta deve viaggiare per centinaia di chilometri. Un CDN con server edge in tutta Europa elimina questa latenza.",[16,561,562],{},"Con i 45+ punti di presenza europei di EuroraCloud, il tuo contenuto viene servito da una posizione tipicamente entro 50ms dai tuoi visitatori. Questo da solo può togliere 200-500ms dal tuo LCP.",[16,564,565],{},[409,566,567],{},"Consegna Ottimizzata delle Immagini",[16,569,570],{},"Le immagini sono l'elemento LCP sulla maggior parte delle pagine. Un CDN può:",[453,572,573,579,585,591],{},[456,574,575,578],{},[409,576,577],{},"Servire formati moderni:"," Convertire automaticamente le immagini in WebP o AVIF, riducendo le dimensioni dei file del 30-50%",[456,580,581,584],{},[409,582,583],{},"Dimensionamento responsive:"," Consegnare immagini di dimensioni appropriate in base al viewport del dispositivo",[456,586,587,590],{},[409,588,589],{},"Ottimizzazione del lazy loading:"," Assicurarsi che le immagini above-the-fold si carichino immediatamente mentre le altre vengono differite",[456,592,593,596],{},[409,594,595],{},"Compressione:"," Applicare compressione ottimale senza perdita di qualità visibile",[16,598,599],{},[409,600,601],{},"Il caching elimina le richieste all'origin",[16,603,604],{},"Quando il contenuto è in cache all'edge, i visitatori lo ricevono direttamente senza alcuna richiesta al tuo server di origine. Questo è drasticamente più veloce anche della risposta origin più ottimizzata.",[430,606,608],{"id":607},"impatto-del-cdn-su-inp","Impatto del CDN su INP",[16,610,611],{},"Mentre INP è principalmente influenzato dal JavaScript lato client, un CDN contribuisce in diversi modi importanti:",[16,613,614],{},[409,615,616],{},"Consegna più veloce degli script",[16,618,619],{},"I tuoi file JavaScript raggiungono i visitatori più velocemente quando vengono serviti da posizioni edge. Questo significa che i tuoi elementi interattivi diventano funzionali prima.",[16,621,622],{},[409,623,624],{},"HTTP\u002F3 e ottimizzazione della connessione",[16,626,627],{},"I CDN moderni supportano HTTP\u002F3 (QUIC), che fornisce:",[453,629,630,633,636],{},[456,631,632],{},"Stabilimento della connessione senza round-trip",[456,634,635],{},"Migliore recupero della perdita di pacchetti",[456,637,638],{},"Stream multiplexati senza head-of-line blocking",[16,640,641],{},"Queste ottimizzazioni riducono l'overhead del caricamento di molteplici risorse, lasciando più tempo al main thread per gestire le interazioni.",[16,643,644],{},[409,645,646],{},"Edge computing per funzionalità dinamiche",[16,648,649],{},"I CDN avanzati offrono capacità di edge computing, permettendoti di eseguire logica ai margini della rete. Questo può scaricare lavoro dal client:",[453,651,652,655,658],{},[456,653,654],{},"Decisioni sui test A\u002FB all'edge invece che lato client",[456,656,657],{},"Personalizzazione senza JavaScript",[456,659,660],{},"Validazione e elaborazione dei form",[430,662,664],{"id":663},"impatto-del-cdn-su-cls","Impatto del CDN su CLS",[16,666,667],{},[409,668,669],{},"Applicazione di placeholder e dimensioni",[16,671,672],{},"Un CDN con ottimizzazione delle immagini può aggiungere automaticamente attributi width e height alle immagini, prevenendo spostamenti di layout durante il caricamento.",[16,674,675],{},[409,676,677],{},"Ottimizzazione dei font",[16,679,680],{},"I web font sono un grande colpevole di CLS. Quando un font personalizzato si carica, spesso causa reflow del testo (noto come FOUT—Flash of Unstyled Text). L'ottimizzazione CDN include:",[453,682,683,686,689,692],{},[456,684,685],{},"Preloading dei font critici",[456,687,688],{},"Font subsetting per ridurre le dimensioni dei file",[456,690,691],{},"Gestione di font-display: swap",[456,693,694],{},"Servire i font da posizioni edge per un caricamento più veloce",[16,696,697],{},[409,698,699],{},"Caricamento consistente delle terze parti",[16,701,702],{},"Anche se non puoi controllare come si comportano gli script di terze parti, servirli attraverso il tuo CDN (quando possibile) fornisce un timing più consistente, riducendo gli spostamenti inaspettati.",[20,704,706],{"id":705},"configurazione-cdn-pratica-per-i-core-web-vitals","Configurazione CDN Pratica per i Core Web Vitals",[16,708,709],{},"Diventiamo specifici su come configurare il tuo CDN per Core Web Vitals ottimali.",[430,711,713],{"id":712},"strategia-di-caching","Strategia di Caching",[16,715,716],{},[409,717,718],{},"Asset statici (immagini, CSS, JS):",[720,721,726],"pre",{"className":722,"code":724,"language":725},[723],"language-text","Cache-Control: public, max-age=31536000, immutable\n","text",[45,727,724],{"__ignoreMap":121},[16,729,730],{},"Usa durate di cache lunghe con nomi file cache-busting per il versioning.",[16,732,733],{},[409,734,735],{},"Documenti HTML:",[720,737,740],{"className":738,"code":739,"language":725},[723],"Cache-Control: public, max-age=300, stale-while-revalidate=86400\n",[45,741,739],{"__ignoreMap":121},[16,743,744],{},"TTL breve con stale-while-revalidate assicura contenuto fresco evitando ritardi dall'origin.",[430,746,748],{"id":747},"impostazioni-di-ottimizzazione-immagini","Impostazioni di Ottimizzazione Immagini",[16,750,751],{},"Abilita queste funzionalità se il tuo CDN le supporta:",[753,754,755,761,767,773],"ol",{},[456,756,757,760],{},[409,758,759],{},"Conversione automatica WebP\u002FAVIF"," - Servire formati moderni ai browser supportati",[456,762,763,766],{},[409,764,765],{},"Immagini responsive"," - Consegnare dimensioni appropriate tramite Client Hints",[456,768,769,772],{},[409,770,771],{},"Iniezione di lazy loading"," - Aggiungere loading=\"lazy\" alle immagini below-fold",[456,774,775,778],{},[409,776,777],{},"Ottimizzazione della qualità"," - Usare metriche di qualità percettiva (come SSIM) invece di compressione fissa",[430,780,782],{"id":781},"preloading-delle-risorse-critiche","Preloading delle Risorse Critiche",[16,784,785],{},"Usa HTTP\u002F2 Server Push o 103 Early Hints per precaricare le risorse critiche:",[720,787,791],{"className":788,"code":789,"language":790,"meta":121,"style":121},"language-http shiki shiki-themes github-light github-dark","Link: \u003C\u002Ffonts\u002Fmain.woff2>; rel=preload; as=font; crossorigin\nLink: \u003C\u002Fcss\u002Fcritical.css>; rel=preload; as=style\n","http",[45,792,793,801],{"__ignoreMap":121},[794,795,798],"span",{"class":796,"line":797},"line",1,[794,799,800],{},"Link: \u003C\u002Ffonts\u002Fmain.woff2>; rel=preload; as=font; crossorigin\n",[794,802,803],{"class":796,"line":122},[794,804,805],{},"Link: \u003C\u002Fcss\u002Fcritical.css>; rel=preload; as=style\n",[430,807,809],{"id":808},"header-di-sicurezza-senza-costi-di-performance","Header di Sicurezza Senza Costi di Performance",[16,811,812],{},"I CDN possono aggiungere header di sicurezza all'edge senza impattare la tua origine:",[720,814,816],{"className":788,"code":815,"language":790,"meta":121,"style":121},"Content-Security-Policy: default-src 'self'; img-src 'self' data: https:;\nX-Content-Type-Options: nosniff\nReferrer-Policy: strict-origin-when-cross-origin\n",[45,817,818,823,828],{"__ignoreMap":121},[794,819,820],{"class":796,"line":797},[794,821,822],{},"Content-Security-Policy: default-src 'self'; img-src 'self' data: https:;\n",[794,824,825],{"class":796,"line":122},[794,826,827],{},"X-Content-Type-Options: nosniff\n",[794,829,831],{"class":796,"line":830},3,[794,832,833],{},"Referrer-Policy: strict-origin-when-cross-origin\n",[20,835,837],{"id":836},"misurare-limpatto","Misurare l'Impatto",[16,839,840],{},"Dopo aver implementato le ottimizzazioni CDN, misura i tuoi miglioramenti usando:",[16,842,843],{},[409,844,845],{},"Strumenti di laboratorio (test sintetici):",[453,847,848,851,854],{},[456,849,850],{},"Google Lighthouse",[456,852,853],{},"WebPageTest",[456,855,856],{},"Pannello Performance di Chrome DevTools",[16,858,859],{},[409,860,861],{},"Dati sul campo (utenti reali):",[453,863,864,867,870],{},[456,865,866],{},"Report Core Web Vitals di Google Search Console",[456,868,869],{},"Chrome User Experience Report (CrUX)",[456,871,872],{},"Soluzioni di Real User Monitoring (RUM)",[16,874,875],{},"I dati CrUX sono ciò che Google usa effettivamente per il ranking, quindi dai priorità ai dati sul campo rispetto alle misurazioni di laboratorio.",[20,877,879],{"id":878},"errori-comuni-da-evitare","Errori Comuni da Evitare",[16,881,882],{},[409,883,884],{},"Cache troppo aggressivo del contenuto dinamico",[16,886,887],{},"Mettere in cache l'HTML troppo aggressivamente può far vedere agli utenti contenuto obsoleto. Usa TTL appropriati e cache-busting per elementi personalizzati.",[16,889,890],{},[409,891,892],{},"Dimenticare gli utenti mobile",[16,894,895],{},"Le reti mobile hanno latenza più alta e prestazioni più variabili. Testa specificamente su connessioni mobile limitate.",[16,897,898],{},[409,899,900],{},"Dimenticare le terze parti",[16,902,903],{},"Il tuo CDN può ottimizzare solo le risorse che serve. Fai un audit degli script di terze parti e rimuovi o differisci quelli non essenziali.",[16,905,906],{},[409,907,908],{},"Misurare solo dati di laboratorio",[16,910,911],{},"I test di laboratorio mostrano il potenziale, non la realtà. I tuoi utenti reali potrebbero avere dispositivi, reti e comportamenti diversi.",[20,913,915],{"id":914},"perché-le-aziende-europee-scelgono-euroracloud","Perché le Aziende Europee Scelgono EuroraCloud",[16,917,918],{},"Per i siti web europei, la localizzazione dei dati conta—sia per la conformità che per le prestazioni. EuroraCloud offre:",[16,920,921],{},[409,922,923],{},"45+ Posizioni Edge Europee",[16,925,926],{},"Da Lisbona a Helsinki, da Stoccolma ad Atene, il tuo contenuto è in cache vicino ai tuoi visitatori europei. Questo si traduce in tempi LCP costantemente veloci in tutto il continente.",[16,928,929],{},[409,930,931],{},"Funzionalità di Performance Integrate",[453,933,934,937,940,943],{},[456,935,936],{},"Ottimizzazione automatica delle immagini con supporto WebP\u002FAVIF",[456,938,939],{},"HTTP\u002F3 abilitato di default",[456,941,942],{},"Caching intelligente con capacità di purge istantanea",[456,944,945],{},"Analytics delle prestazioni in tempo reale",[16,947,948],{},[409,949,950],{},"Infrastruttura Conforme al GDPR",[16,952,953],{},"Tutto il processing avviene all'interno dell'UE. Nessun trasferimento dati verso paesi terzi, semplificando i tuoi obblighi di conformità.",[16,955,956],{},[409,957,958],{},"Prezzi Semplici e Trasparenti",[16,960,961],{},"Nessun costo nascosto per funzionalità che dovrebbero essere standard. L'ottimizzazione delle prestazioni è inclusa, non un add-on.",[20,963,965],{"id":964},"conclusione","Conclusione",[16,967,968],{},"I Core Web Vitals non sono solo metriche di vanità—influenzano direttamente i tuoi ranking di ricerca e l'esperienza utente. Un CDN è uno degli strumenti più efficaci per migliorare tutte e tre le metriche simultaneamente.",[16,970,971],{},"Riducendo la latenza, ottimizzando gli asset e fornendo protocolli di consegna moderni, un CDN correttamente configurato può trasformare i tuoi punteggi Core Web Vitals. Per le aziende europee, scegliere un CDN con forte presenza europea assicura la migliore esperienza possibile per il tuo pubblico principale.",[16,973,974,977,978,983],{},[409,975,976],{},"Pronto a migliorare i tuoi Core Web Vitals?"," ",[38,979,982],{"href":980,"rel":981},"https:\u002F\u002Fwww.euroracloud.eu",[42],"Prova EuroraCloud gratis per 14 giorni"," e scopri la differenza che un CDN European-first può fare.",[414,985],{},[16,987,988],{},[191,989,990,991,995],{},"Hai domande sull'ottimizzazione dei tuoi Core Web Vitals? Contatta il nostro team performance a ",[38,992,994],{"href":993},"mailto:support@euroracloud.eu","support@euroracloud.eu","—siamo felici di aiutarti.",[997,998,999],"style",{},"html .default .shiki span {color: var(--shiki-default);background: var(--shiki-default-bg);font-style: var(--shiki-default-font-style);font-weight: var(--shiki-default-font-weight);text-decoration: var(--shiki-default-text-decoration);}html .shiki span {color: var(--shiki-default);background: var(--shiki-default-bg);font-style: var(--shiki-default-font-style);font-weight: var(--shiki-default-font-weight);text-decoration: var(--shiki-default-text-decoration);}html .dark .shiki span {color: var(--shiki-dark);background: var(--shiki-dark-bg);font-style: var(--shiki-dark-font-style);font-weight: var(--shiki-dark-font-weight);text-decoration: var(--shiki-dark-text-decoration);}html.dark .shiki span {color: var(--shiki-dark);background: var(--shiki-dark-bg);font-style: var(--shiki-dark-font-style);font-weight: var(--shiki-dark-font-weight);text-decoration: var(--shiki-dark-text-decoration);}",{"title":121,"searchDepth":122,"depth":122,"links":1001},[1002,1007,1012,1018,1019,1020,1021],{"id":424,"depth":122,"text":425,"children":1003},[1004,1005,1006],{"id":432,"depth":830,"text":433},{"id":470,"depth":830,"text":471},{"id":508,"depth":830,"text":509},{"id":543,"depth":122,"text":544,"children":1008},[1009,1010,1011],{"id":550,"depth":830,"text":551},{"id":607,"depth":830,"text":608},{"id":663,"depth":830,"text":664},{"id":705,"depth":122,"text":706,"children":1013},[1014,1015,1016,1017],{"id":712,"depth":830,"text":713},{"id":747,"depth":830,"text":748},{"id":781,"depth":830,"text":782},{"id":808,"depth":830,"text":809},{"id":836,"depth":122,"text":837},{"id":878,"depth":122,"text":879},{"id":914,"depth":122,"text":915},{"id":964,"depth":122,"text":965},null,"2026-02-09","Pubblicato: 9 febbraio 2026 | Categoria: Performance | Tempo di lettura: 8 minuti",{},"\u002Fblog\u002Fit\u002Fcore-web-vitals-cdn",{"title":403,"description":1024},"core-web-vitals-come-un-cdn-aiuta","blog\u002Fit\u002Fcore-web-vitals-cdn",[1031,1032,1033],"CDN","Performance","Web Security","rxhsdooRAHJBwwJeldMbLdN65Rm7Iupn0Ydu_cu1eUA",1785141124567]