Faro PA
Iniziativa civica e indipendente per l'osservazione, il monitoraggio dello stato di salute e l'analisi tecnologica dei portali web della Pubblica Amministrazione Italiana.
Cosa Monitoriamo
Il monitoraggio interroga periodicamente l'elenco degli enti censiti in IndicePA, eseguendo verifiche automatizzate a livello di rete, sicurezza email, crittografia e componenti applicativi:
Header di Sicurezza HTTP
Rilevamento passivo delle intestazioni HTTP consigliate da AgID e ACN:
HSTS, Content-Security-Policy (CSP), X-Frame-Options,
X-Content-Type-Options e Referrer-Policy, con attribuzione di un grado sintetico di adozione (A-F).
Protezione Posta (SPF & DMARC)
Analisi dei record DNS a tutela dalle frodi e dall'email spoofing:
instradamento server MX, adeguatezza delle direttive SPF (-all / ~all)
e severità della policy DMARC (none, quarantine, reject).
CMS & Lifecycle Software
Identificazione dei CMS adottati (WordPress, Drupal, Joomla, TYPO3) e della versione PHP esposta.
Il sistema verifica dinamicamente lo stato di obsolescenza (versioni supportate o End-of-Life)
tramite il database globale di endoflife.date.
Raggiungibilità, Rete & Mappe
Controllo della validità dei certificati TLS/SSL, rilevamento dell'hosting provider, acquisizione periodica di screenshot delle homepage con Google Chrome headless e georeferenziazione geografica su mappa interattiva.
Metodologia Non Invasiva (OSINT)
Le rilevazioni avvengono secondo criteri rigorosi di Open Source Intelligence (OSINT) passiva ed etica di rete:
- Nessuna azione intrusiva o di penetration testing: Il sistema non inietta payload, non esegue vulnerability assessment (VA), né tenta accessi non autorizzati o forzature brute-force (in piena conformità con l'art. 615-ter c.p.).
- Sola ispezione dei dati pubblicamente esposti: Vengono interrogate esclusivamente le risorse rese pubbliche dai server web (record DNS pubblici, certificati TLS, intestazioni HTTP e markup standard delle homepage).
- Rate Limiting conservativo: Le richieste sono cadenzate a intervalli orari per evitare qualsiasi impatto sui sistemi delle amministrazioni coinvolte.
Mozilla/5.0 (compatible; SitiWebPA-Bot/2.0; +https://pa.zerozone.it/about; o-zone@zerozone.it)
Trattamento Dati e Responsabilità
Fonte dei dati anagrafici: I riferimenti istituzionali (denominazione, codice IPA, indirizzo e recapiti) provengono dai dataset aperti rilasciati su IndicePA sotto licenza aperta e sono aggiornati automaticamente tramite sincronizzazione programmata condizionale.
Dati personali e contatti: Le caselle di posta e i recapiti registrati corrispondono solo a punti di contatto istituzionali o di funzione (protocollo, segreteria, URP) già pubblici. Non vengono trattati dati personali privati.
Carattere sperimentale: I controlli sono elaborati in modo interamente automatizzato. Possono verificarsi falsi positivi temporanei dovuti a disservizi transitori di rete o filtri perimetrali di terzi. Non si fornisce alcuna garanzia di completezza o veridicità assoluta delle informazioni esposte.
Trasparenza e Software Libero
La piattaforma è sviluppata su stack LAMP (Linux, Apache, MySQL/MariaDB, PHP 8.1+) e impiega strumenti open source consolidati quali Bootstrap 5, Leaflet.js, WhatWeb, Subfinder e Google Chrome Headless.