Scaricare i siti web che utilizzano RapidSec

La Content Security Policy è il controllo che ogni revisione di sicurezza raccomanda e che la maggior parte dei team non finisce mai di implementare. L’ostacolo è aritmetico, non di principio. Una policy funzionante deve elencare ogni sorgente di script, frame, font e immagini che un sito carica, e qualsiasi sito con un reparto marketing carica un bersaglio mobile che cambia ogni volta che parte una campagna.

Lo strumento RapidSec automatizza la soluzione di questo problema, e per farlo deve inserire codice nel browser. A rendere la scheda interessante per la ricerca è proprio questo requisito. Quasi tutti gli altri acquisti di sicurezza di un’azienda risiedono sul perimetro della rete, in una pipeline di build o all’interno di una console privata, e non lasciano nulla che un crawler possa osservare. Un prodotto di gestione delle policy deve strumentare la pagina che protegge, e diventa così una delle pochissime decisioni del team di sicurezza visibili dall’esterno dell’organizzazione senza alcun accesso privilegiato.

La visibilità porta con sé instabilità, e il numero richiede questa avvertenza. A novembre 2026 rileviamo l’agente su 45 siti. Le implementazioni di questo tipo coprono spesso solo una parte del parco di siti, non tutto, e le installazioni in modalità di sola segnalazione vengono spesso rimosse una volta che la policy è stata definita e resa vincolante, quindi un sito può uscire dall’elenco proprio nel momento in cui il cliente ha successo. Le variazioni della riga riflettono perciò la fase di implementazione tanto quanto il numero di clienti, e una serie storica andrebbe letta tenendone conto.

Dallo stesso segnale si può trarre una seconda deduzione. Un’azienda che ha bisogno di una gestione automatizzata delle policy è di solito un’azienda le cui pagine portano un carico consistente di script di terze parti, dato che un sito con tre script scrive la propria policy una volta a mano e non ci pensa più. La rilevazione tende quindi a segnalare siti di dimensioni maggiori, con attività di marketing intense, un parco di tag complicato e una funzione di sicurezza con abbastanza autorevolezza da imporre loro un controllo.

Il prodotto è distribuito con licenza Proprietary, è scritto in JavaScript e risale al 2019, il che lo colloca tra gli strumenti nati dopo che la sicurezza lato browser è passata da preoccupazione per specialisti a voce di checklist nei questionari di valutazione dei fornitori delle grandi aziende. Ogni rilevazione indica un’organizzazione che ha deciso che la strada manuale non funzionava e ha pagato per l’alternativa, una posizione d’acquisto precisa e piuttosto avanzata. L’indirizzo che abbiamo per il fornitore ora reindirizza al sito di un’altra società di sicurezza anziché a una pagina di prodotto, quindi conviene leggere una rilevazione più come un’installazione sopravvissuta a quel cambiamento che come la prova di un abbonamento attivo oggi.

Cercare un singolo dominio dice quali header invia oggi quel sito, e gli strumenti gratuiti rispondono già bene a questa domanda. L’elenco della categoria Security dice chi ha acquistato un prodotto per gestire quegli header, una domanda del tutto diversa e che gli header stessi non rivelano. I fornitori di sicurezza che fanno analisi della concorrenza, i ricercatori che studiano l’adozione delle policy sul campo e gli acquirenti che cercano referenze presso aziende con un livello di maturità simile hanno tutti bisogno della popolazione, non della risposta di un singolo sito.