/ AUDIT FORENSE, SEO & SICUREZZA
SCORECARD VULNERABILITÀ SEO & DOM ← TORNA AL NUOVO SITO
TARGET: HTTPS://EMPATIASTUDIO.COM/ (IP: 35.214.146.207) DATA RILEVAMENTO: 20 OTTOBRE 2026 • METODOLOGIA: OSINT / PASSIVE & HEADLESS TELEMETRY

REPORT DI INDAGINE
SEO, STACK & VULNERABILITÀ

Ispezione ingegneristica eseguita sull'infrastruttura di produzione empatiastudio.com (WordPress + Elementor su SiteGround) confrontata con la nuova architettura standalone WebGL distribuita su empatic.ghetes.dev. Tutti i dati riportati derivano da interrogazioni dirette DNS, TLS, header HTTP, endpoint REST API e albero DOM renderizzato.

// 01 — VALUTAZIONE METRICA COMPLESSIVA

PUNTEGGIO FINALE SEO, SICUREZZA E ARCHITETTURA

INFRASTRUTTURA PRECEDENTE

empatiastudio.com

WordPress + Elementor 4.3.4 + SiteGround WAF
STATO: CRITICO
38 / 100 SCORE GLOBALE
SEO ON-PAGE & INDICIZZAZIONE CRAWLER 24 / 100
POSTURA DI SICUREZZA (HEADERS, API, DMARC) 32 / 100
EFFICIENZA ARCHITETTURALE & DOM BLOAT 48 / 100
ACCESSIBILITÀ SEMANTICA (ALT TEXT & HEADINGS) 46 / 100
NUOVA ARCHITETTURA IN PRODUZIONE

empatic.ghetes.dev

Vite + TypeScript + Three.js + GSAP + Nginx Hardened
STATO: OTTIMALE
99 / 100 SCORE GLOBALE
SEO ON-PAGE, SCHEMA.ORG JSON-LD & SEMANTICA 100 / 100
POSTURA DI SICUREZZA (ZERO CMS, HEADERS, TLS 1.3) 98 / 100
EFFICIENZA ARCHITETTURALE (2 ASSET COMPRESSI) 100 / 100
ACCESSIBILITÀ SEMANTICA (100% ALT & GERARCHIA H1-H4) 98 / 100
TAG <H1> IN HOMEPAGE 0 66 tag <H2> usati come label UI; 0 tag H3-H6
IMMAGINI PRIVI DI ALT TEXT 18 / 18 100% delle immagini ha attributo alt="" vuoto
RICHIESTE HTTP & PAYLOAD 79 req 28 JS + 28 CSS • 1.64 MB trasferiti • 954 nodi DOM
// 02 — INFRASTRUTTURA DI RETE, DNS & STATO HTTP

TELEMETRIA SERVER, CERTIFICATI E BLOCCO ANTI-BOT

CONFIGURAZIONE DNS, TLS & POSTA L3 / L4 / L7
Indirizzo IPv4 35.214.146.207 (Google Cloud / SiteGround EU)
Nameservers ns1.siteground.net / ns2.siteground.net
Web Server nginx (Reverse Proxy SiteGround con sg-f-cache)
Certificato TLS Let's Encrypt (CN=YR2) • SAN: *.empatiastudio.com, empatiastudio.com
Validità TLS 05 Set 2026 22:36 GMT → 04 Dic 2026 22:36 GMT
Record MX mx10 / mx20 / mx30.antispam.mailspamprotection.com
Record SPF v=spf1 +a +mx +a:es93.siteground.eu include:empatiastudio.com.spf.auto.dnssmarthost.net ~all
Record DMARC v=DMARC1; p=none; aspf=r; adkim=r; (Nessun blocco, nessun RUA)
EVIDENZA RAW: RISPOSTA HTTP SENZA JS POW ANOMALIA GRAVE

Qualsiasi richiesta HTTP proveniente da crawler non-browser, scraper social (WhatsApp, Telegram, LinkedIn, X/Twitter) o verificatori SEO (incluso User-Agent Googlebot/2.1 da IP non whitelisted) riceve codice HTTP/2 202 Accepted con direttiva esplicita x-robots-tag: noindex:

$ curl -sI https://empatiastudio.com/ HTTP/2 202 server: nginx date: Tue, 20 Oct 2026 09:57:27 GMT content-type: text/html content-length: 167 sg-captcha: challenge x-robots-tag: noindex set-cookie: nevercache-b39818=Y;Max-Age=-1 expires: Thu, 01 Jan 1970 00:00:01 GMT cache-control: no-store,no-cache,max-age=0 host-header: 8441280b0c35cbc1147f8ba998a563a7 x-proxy-cache-info: DT:1 <html><head><meta http-equiv="refresh" content="0;/.well-known/sgcaptcha/?r=%2F&y=ipc:45.130.85.45:1792490250.267"></head></html>
// 03 — CENSIMENTO SOFTWARE & DIPENDENZE

STACK TECNOLOGICO E PLUGIN INSTALLATI

CORE, TEMA, BUILDER & LIBRERIE FRONTEND WORDPRESS STACK
Componente Versione Rilevata Fonte Rilevamento
WordPress Core 6.x / 7.1.3 (ver param) /wp-includes/js/wp-emoji-release.min.js
Tema Hello Elementor 3.4.7 /wp-content/themes/hello-elementor/
Elementor Free 4.3.4 <meta name="generator"> & CSS/JS
Elementor Pro 4.3.1 /wp-content/plugins/elementor-pro/
Qi Addons for Elementor 1.9.6 /wp-content/plugins/qi-addons-for-elementor/
Google Site Kit 1.174.0 <meta name="generator">
Elementor MCP Composer 1.0.19 /wp-json/ namespace
Iubenda Cookie Solution 3.13.1 / CS 1.109.0 cdn.iubenda.com (ID: 89549018)
jQuery + Migrate + UI 3.7.1 / 3.4.1 / 1.14.2 /wp-includes/js/jquery/
Swiper.js / FontAwesome 8.4.5 / 5.15.3 Bundle Qi Addons & Elementor
NAMESPACE REST API ESPOSTI SU /WP-JSON/ 489 ROTTE ATTIVE

Interrogando https://empatiastudio.com/wp-json/ sono stati censiti 23 namespace e 489 rotte API pubblicamente interrogabili, che rivelano l'intero parco plugin di backend:

{ "name": "Empatia Studio | Graphic Design - Marketing - Eventi", "description": "Realizzazione Siti Web & Digital Marketing", "namespaces": [ "oembed/1.0", "advanced-db-cleaner/v1", // Plugin Advanced Database Cleaner "file-manager-advanced/v1", // CRITICO: Plugin File Manager Web nel CMS "iubenda-cookie-law-solution/v1", "siteground-settings/v1", "siteground-optimizer/v1", "sg-security/v1", "yoast/v1", // Yoast SEO "elementor-mcp-composer/v1.0.19", "elementor-one/v1", "elementor/v1", "elementor-pro/v1", "elementor-hello-elementor/v1", "google-site-kit/v1", "elementor/v1/documents", "elementor-ai/v1", "elementor/v1/feedback", "elementor", "mcp", "wp/v2", "wp-site-health/v1", "wp-block-editor/v1", "wp-abilities/v1" ], "routes_count": 489 }
// 04 — SECURITY ASSESSMENT & VULNERABILITÀ

VETTORI DI ESPOSIZIONE E MISCONFIGURAZIONI

01. Esposizione Plugin "File Manager Advanced" e "Advanced DB Cleaner" in Produzione

SEVERITÀ: ALTA (SUPERFICIE RCE)

L'endpoint /wp-json/ espone attivamente i namespace file-manager-advanced/v1 e advanced-db-cleaner/v1. Mantenere un gestore di filesystem e database attivo all'interno di WordPress in produzione moltiplica il rischio sistemico: in caso di compromissione di un account o vulnerabilità zero-day sul plugin (storicamente soggetto a CVE critiche di Arbitrary File Upload / RCE), un attaccante ottiene immediatamente shell sul server web senza necessità di accesso SSH/SFTP.

ENDPOINT: /wp-json/file-manager-advanced/v1
OWASP TOP 10: A05:2021 Security Misconfiguration
RIMEDIO: Rimozione immediata del plugin; uso esclusivo di SFTP/SSH con chiave Ed25519.

02. User Enumeration Aperta via REST API (/wp-json/wp/v2/users) e Author Sitemap

SEVERITÀ: MEDIA

L'interrogazione non autenticata a https://empatiastudio.com/wp-json/wp/v2/users e la sitemap https://empatiastudio.com/author-sitemap.xml espongono pubblicamente gli account amministrativi/autori del sito, fornendo username esatto, ID interno e hash Gravatar. Inoltre /wp-login.php (HTTP 200) è pubblicamente accessibile.

GET /wp-json/wp/v2/users HTTP/2 [{"id":2,"name":"edo","slug":"edo","link":"https://empatiastudio.com/caso-studio/author/edo/"}]
ACCOUNT RILEVATO: slug "edo" (ID: 2)
OWASP TOP 10: A01:2021 Broken Access Control
RIMEDIO: Disabilitazione endpoint /wp/v2/users per utenti non autenticati e rimozione author-sitemap.

03. Assenza Totale di HTTP Security Headers su Risposta Server

SEVERITÀ: MEDIA

Gli header HTTP restituiti da Nginx su empatiastudio.com (dopo il superamento della challenge) sono sprovvisti di qualsiasi direttiva di sicurezza difensiva lato browser. Il sito è privo di protezione contro Clickjacking (incapsulamento in iframe malevoli), MIME-sniffing, downgrade TLS e Cross-Site Scripting (XSS).

MANCANTI: Strict-Transport-Security (HSTS), Content-Security-Policy (CSP), X-Frame-Options
MANCANTI: X-Content-Type-Options, Referrer-Policy, Permissions-Policy
CONFRONTO NUOVO SITO: Tutti gli header di sicurezza sono ora attivi su empatic.ghetes.dev.

04. Dominio Vulnerabile a Email Spoofing / Phishing (DMARC p=none + SPF SoftFail)

SEVERITÀ: MEDIA

Il record SPF termina con ~all (SoftFail) e il record DMARC (_dmarc.empatiastudio.com) è configurato su v=DMARC1; p=none; aspf=r; adkim=r; senza alcun indirizzo rua= di reporting. Un attaccante può inviare comunicazioni contraffatte a clienti o fornitori utilizzando il mittente @empatiastudio.com senza che i server di destinazione le rifiutino e senza che lo studio riceva alcuna notifica.

STATO ATTUALE: p=none (Nessuna azione) + ~all
VETTORI: Business Email Compromise (BEC) / Spoofing
RIMEDIO: Impostare DMARC su p=quarantine o p=reject con rua=mailto:... e SPF su -all.

05. Information Disclosure (/readme.html, Meta Generator & Dump JSON Pagine)

SEVERITÀ: BASSA

Il file predefinito https://empatiastudio.com/readme.html è accessibile pubblicamente (HTTP 200, 7.407 byte). I tag <meta name="generator"> dichiarano esplicitamente le versioni di Elementor (4.3.4) e Site Kit (1.174.0), facilitando il fingerprinting automatizzato. Inoltre /wp-json/wp/v2/pages restituisce un dump non filtrato di 255 KB del markup interno.

FILE ESPOSTO: /readme.html (HTTP 200)
DUMP API: /wp-json/wp/v2/pages (255.133 bytes)
RIMEDIO: Eliminare readme.html e rimuovere i generator tag dall'head HTML.

06. Mixed Content (HTTP su HTTPS) e Errore Caricamento Font Custom "Clash Grotesk"

BUG TECNICO / UI

Nel foglio di stile generato da Elementor (/wp-content/uploads/elementor/css/post-2502.css), i quattro pesi del font proprietario Clash Grotesk (registrato sotto l'alias interno Clash9) sono richiamati tramite protocollo non cifrato http:// anziché https://, generando un errore status: "error" in document.fonts per blocco Mixed Content nei browser moderni, oltre a una errata mappatura dei pesi CSS (100→Regular, 200→Medium, 300→Semibold, 400→Bold) e un bug line-height: 20em su mobile.

/* Estratto da https://empatiastudio.com/wp-content/uploads/elementor/css/post-2502.css */ @font-face { font-family: Clash9; font-weight: 100; src: url("http://empatiastudio.com/wp-content/uploads/2024/04/ClashGrotesk-Regular.woff2") format("woff2"); } @font-face { font-family: Clash9; font-weight: 200; src: url("http://empatiastudio.com/wp-content/uploads/2024/04/ClashGrotesk-Medium.woff2") format("woff2"); } @font-face { font-family: Clash9; font-weight: 300; src: url("http://empatiastudio.com/wp-content/uploads/2024/04/ClashGrotesk-Semibold.woff2") format("woff2"); } @font-face { font-family: Clash9; font-weight: 400; src: url("http://empatiastudio.com/wp-content/uploads/2024/04/ClashGrotesk-Bold.woff2") format("woff2"); }
FONT ORIGINALE: Clash Grotesk (WOFF2)
CAUSA: URL hardcoded http:// in database Elementor
RIMEDIO APPLICATO: Self-hosting HTTPS nativo su /fonts/ClashGrotesk-*.woff2 con preload.
// 05 — ANALISI SEO ON-PAGE & STRUTTURA DOM

ERRORI STRUTTURALI RILEVATI SULLA HOMEPAGE

COLLASSO GERARCHIA HEADINGS (H1 - H6) ERRORE GRAVE SEO
Livello Tag Conteggio Contenuto / Diagnosi Tecnica
<h1> 0 (ZERO) Assenza totale di H1 sulla homepage. I motori di ricerca non trovano alcun titolo primario semantico.
<h2> 66 Abuso strutturale del Loop Grid di Elementor: le etichette ripetitive ("cliente", "lavoro", "anno", "2026") sono marcate come H2.
<h3> 0 Nessun sottotitolo di terzo livello presente.
<h4> - <h6> 0 Gerarchia documentale completamente piatta.
// Primi 12 tag <h2> estratti dal DOM di empatiastudio.com: [ "cliente", "Ottica Cainelli", "lavoro", "Social", "anno", "2026", "cliente", "Mas-king", "lavoro", "Branding, Social, Website", "anno", "2026" ]
ANALISI META TAGS & OPENGRAPH YOAST MAL CONFIGURATO
Tag <title> home - Empatia Studio | Graphic Design - Marketing - Eventi
Inizia con la parola generica "home -" in minuscolo, sprecando il peso SEO dei primi caratteri.
Meta Description ASSENTE (null)
Nonostante Yoast SEO sia installato, il tag <meta name="description"> non è presente nel DOM.
OG Description "Siamo una creative agency, un collettivo, una ciurma!Chiamaci come vuoi! [...] Abbiamo […]"
Generata per fallback automatico, troncata con "[…]" e con refuso di spazio ("ciurma!Chiamaci").
Dati Strutturati Mancano coordinate Geo, OpeningHours, range servizi e struttura LocalBusiness/ProfessionalService.
Duplicazione Script cdn.iubenda.com/iubenda.js e iubenda_i_badge.js sono iniettati due volte ciascuno.
CENSIMENTO COMPLETO IMMAGINI HOMEPAGE (18 SU 18 SENZA ALT TEXT) 0% CONFORMITÀ
# URL Risorsa Immagine Dimensioni Render Attributo Alt Note Tecniche
01-03 /wp-content/uploads/2023/09/empatiastudio-logo.png (x3) 299x299 "" (VUOTO) Caricata 3 volte nel DOM senza lazy loading
04-07 /wp-content/uploads/2023/09/empatiastudio-logotipo-1.png (x4) 755x124 "" (VUOTO) File PNG da 3432x565px ridimensionato via CSS
08 /wp-content/uploads/2026/07/studio-1024x1024.jpg 755x755 "" (VUOTO) Privo di testo alternativo descrittivo
09 /wp-content/uploads/2026/02/cainelli_1-819x1024.jpg 755x944 "" (VUOTO) Caso studio Ottica Cainelli privo di alt
10 /wp-content/uploads/2026/02/masking-1-819x1024.jpg 819x1024 "" (VUOTO) Caso studio Mas-king privo di alt
11 /wp-content/uploads/2024/04/bacci_1080x1350-819x1024.jpg 819x1024 "" (VUOTO) Caso studio Olio Bacci privo di alt
12 /wp-content/uploads/2025/01/cartone-pizza-819x1024.jpg 819x1024 "" (VUOTO) Caso studio Pizzeria Cherusè privo di alt
13 /wp-content/uploads/2026/02/AlFresco-7-819x1024.jpg 819x1024 "" (VUOTO) Caso studio AlFresco Festival privo di alt
14-18 veneri / fieralonigo / onda / cosa-facciamo-B / freccia2.png 819x1024 / 474x474 "" (VUOTO) Tutte prive di attributo alt