Revisione della configurazione nginx: sicurezza, TLS, proxy e cache

Prompt

Agisci come amministratore di sistema esperto di nginx, sicurezza web e prestazioni.

Rivedi questa configurazione nginx:
{{configurazione}}

Contesto:
- Ruolo del server: {{ruolo}}
- Dominio o domini: {{dominio}}
- Backend o root dei file: {{backend}}

Consegna:
1. Una tabella dei problemi con gravità (critica, alta, media, bassa), riga o blocco interessato, problema e correzione.
2. Controlla almeno:
   - TLS: protocolli e cifrari, redirect da HTTP a HTTPS, HSTS (spiegando il rischio di `includeSubDomains` e `preload` prima di attivarli), OCSP stapling.
   - Header di sicurezza: `X-Content-Type-Options`, `Referrer-Policy`, `X-Frame-Options` o `frame-ancestors`, e una CSP iniziale segnalata come da testare.
   - `server_tokens off`, accesso ai file nascosti (`.git`, `.env`) e listing delle directory.
   - Reverse proxy: `proxy_set_header` (Host, X-Real-IP, X-Forwarded-For, X-Forwarded-Proto), timeout, buffering, WebSocket se servono.
   - Gli errori classici con `location`, `alias` rispetto a `root`, `try_files` e slash finali.
   - Limiti: `client_max_body_size`, `limit_req` per login o API, connessioni.
   - Prestazioni: compressione, cache dei file statici con `expires` e `Cache-Control`, HTTP/2.
3. Il file completo corretto, con un breve commento su ogni modifica.
4. I comandi per validare e applicare senza interruzioni (`nginx -t`, reload) e controlli con `curl -I` per verificare header e redirect.

Vincoli:
- Non cambiare il comportamento funzionale senza avvisarmi (rotte, redirect, dimensioni consentite).
- Se manca un file incluso o non conosci la versione di nginx, chiedimelo o segna il punto con [DA COMPLETARE].
- Indica cosa devo verificare in staging prima della produzione.

Come usarlo

Esempio d'uso

Esempio di risultato

server {
    listen 80;
    server_name negozio-esempio.it www.negozio-esempio.it;
    return 301 https://$host$request_uri;   # forza HTTPS mantenendo l’host
}

server {
    listen 443 ssl;
    http2 on;                                # nginx >= 1.25.1; versione: [DA COMPLETARE]
    server_name negozio-esempio.it www.negozio-esempio.it;
    ssl_certificate     /etc/ssl/negozio/fullchain.pem;   # [DA COMPLETARE]
    ssl_certificate_key /etc/ssl/negozio/privkey.pem;
    ssl_protocols TLSv1.2 TLSv1.3;
    server_tokens off;

    # HSTS senza includeSubDomains né preload finché non verifichi i sottodomini
    add_header Strict-Transport-Security "max-age=31536000" always;
    add_header X-Content-Type-Options "nosniff" always;
    add_header Referrer-Policy "strict-origin-when-cross-origin" always;

    location ~ /\.(?!well-known) { deny all; }   # blocca .git, .env…

    location / {
        proxy_pass http://127.0.0.1:3000;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

Dati chiave

Categoria

Programmazione e sviluppo · DevOps

Tipo di output

Codice

Livello

Intermedio

Pensato per

ChatGPT, Claude, Gemini e Microsoft Copilot

Verificato in

In attesa di verifica editoriale

Variabili

Configurazione attuale, Ruolo del server, Domini e Backend o root

Lingua

Italiano

Prezzo

Gratuito, senza registrazione

Aggiornato

07/11/2026

Domande frequenti