Sito ingannevole: cosa significa e come evitare che il tuo sito PMI sembri poco affidabile

Un cliente ti scrive su WhatsApp: “Ho provato ad aprire il vostro sito e Chrome mi ha bloccato con una schermata rossa”. Oppure non ti scrive nessuno, e i preventivi che di solito arrivavano dal form semplicemente smettono. In entrambi i casi c’è un problema di “sito ingannevole”, e sono due problemi diversi che conviene tenere separati. Il primo è tecnico, lo segnala Google con un avviso automatico. Il secondo è di percezione, non lo segnala nessuno e ti costa clienti in silenzio. Questa guida copre tutti e due i problemi. Ti spiego come togliere l’avviso “Sito ingannevole in vista” dalla Search Console passo per passo, e come far sì che il tuo sito trasmetta affidabilità alle persone che ci arrivano.

Cosa si intende per sito ingannevole

L’avviso “Sito ingannevole in vista” è la schermata rossa a tutto schermo che Google Safe Browsing mostra quando rileva su una pagina segnali di phishing, malware o social engineering. Blocca l’accesso al sito su Chrome e su tutti i browser che leggono lo stesso database di sicurezza, tra cui Firefox e Safari. Il visitatore vede un pulsante grande per tornare indietro e un link piccolo, quasi nascosto, per procedere comunque a suo rischio.

Qui va chiarita subito una cosa che confonde molti titolari. Quell’avviso non dice necessariamente che tu abbia fatto qualcosa di scorretto. Può capitare che il sito sia stato compromesso da qualcun altro, che ha iniettato pagine di phishing o codice malevolo a tua insaputa. Google segnala il sintomo, senza distinguere tra chi ha creato l’inganno e chi lo subisce.

C’è poi un secondo significato di “ingannevole” che la ricerca accademica studia da anni e che con Safe Browsing non c’entra. Un’interfaccia è ingannevole quando confonde deliberatamente le persone, rende difficile esprimere le loro reali preferenze o le spinge a compiere azioni che non intendevano compiere ¹. Questi sono i cosiddetti dark pattern, scelte di design che favoriscono chi gestisce il sito a danno di chi lo usa ², facendo leva sui bias cognitivi per far comprare o rivelare più del dovuto ¹. Un sito può essere perfettamente pulito per Google e comunque risultare ingannevole a un essere umano. Ci torniamo più avanti.

In breve

• Chi lo mostra: Chrome, Firefox, Safari e altri browser che usano il database Google Safe Browsing.
• Cosa vede il visitatore: schermata rossa a tutto schermo che blocca l’accesso.
• Cosa non significa: non è detto che tu abbia colpe. Può trattarsi di un sito violato.

Perché compare: le 5 cause più comuni

L’avviso di sito ingannevole scatta quando Safe Browsing trova qualcosa che mette a rischio chi lo visita. Ecco cinque cause che ricorrono nelle PMI italiane.

1. Sito violato con pagine di phishing iniettate. Un attaccante entra nel tuo WordPress e crea pagine che imitano login bancari o portali di pagamento, ospitandole sul tuo dominio. Google le trova e blocca l’intero sito.
2. Malware o script compromessi da plugin e temi non aggiornati. Un plugin vecchio con una falla nota diventa la porta d’ingresso per codice che reindirizza i visitatori o installa software dannoso.
3. Contenuti o pubblicità che imitano elementi di sistema. Banner o finte notifiche che riproducono pulsanti del browser o avvisi di download traggono in inganno l’utente. Rientrano nel social engineering che Safe Browsing punisce.
4. Certificato SSL assente o scaduto e contenuti misti. Un sito senza HTTPS valido, o che carica risorse in HTTP dentro pagine HTTPS, genera avvisi di sicurezza nel browser ed è comunque un problema da sistemare.
5. Risorse di terze parti compromesse. Uno script esterno (un widget, una libreria, un servizio di terze parti) viene bucato all’origine e trascina con sé il tuo sito.

Il caso tipico che vedo nelle piccole imprese è quasi sempre lo stesso. Il sito l’ha costruito cinque o sei anni fa un’agenzia che nel frattempo ha chiuso, gira su un WordPress mai aggiornato, con plugin fermi al 2019 e nessuno che controlla i log. Finché tutto funziona nessuno ci pensa. Poi un lunedì mattina il sito è rosso e il titolare scopre di non avere nemmeno le credenziali di accesso all’hosting.

Quanto costa davvero l’avviso a una PMI

Finché la schermata rossa è attiva, il tuo sito è chiuso al pubblico nei fatti. Le persone tendono a fermarsi davanti all’avviso e a tornare indietro, perché quel design è costruito apposta per scoraggiare il click che porta avanti. Chi arriva da una ricerca e finisce su un sito ingannevole non insiste, va al concorrente sotto di te.

Il danno si moltiplica su ogni canale che stai pagando. Le campagne Google Ads e Meta continuano a spendere budget per portare clic su una porta sbarrata. Le email della tua newsletter portano i contatti a sbattere contro l’avviso, e ogni contatto che vive quell’esperienza associa il tuo marchio a qualcosa di poco sicuro. Chi ti conosce già e stava valutando un acquisto si insospettisce.

Qui serve onestà sui numeri. Non esistono percentuali affidabili e universali su “quanto traffico perdi” con un avviso attivo, e chiunque te ne spari una precisa se la sta inventando. Quello che la ricerca mostra con chiarezza riguarda il lato reputazionale. Le pratiche ingannevoli sui siti generano emozioni negative e danneggiano sia l’esperienza di marca sia il valore percepito del marchio agli occhi di chi le incontra ³. Un avviso di “sito ingannevole” è l’incontro più brutale possibile con quel sospetto, perché il browser stesso ti dà del truffatore davanti al cliente. Il tempo di revisione di Google, una volta chiesta, non è immediato, quindi ogni ora persa a capire cosa fare è un’ora di sito bloccato.

Come rimuovere l’avviso “Sito ingannevole” in 5 passi

La procedura si basa sugli strumenti ufficiali di Google. L’ordine conta. Prima capisci cosa è stato segnalato, poi metti in sicurezza, solo alla fine chiedi la revisione.

1. Verifica lo stato del sito. Apri Google Search Console e vai su Sicurezza e azioni manuali, poi Problemi di sicurezza, dove Google elenca le pagine o i tipi di minaccia rilevati. Incrocia il dato con lo strumento pubblico di controllo dello stato di Google Safe Browsing. Ora sai se il problema è phishing, malware o social engineering, e su quali URL.

2. Fai un backup completo prima di toccare qualsiasi cosa. Salva database e file così come sono, anche se sono infetti. Ti serve una copia dello stato attuale per capire cosa è cambiato e per non perdere contenuti legittimi mentre pulisci.

3. Individua e rimuovi i file compromessi. Aggiorna il CMS, il tema e tutti i plugin all’ultima versione. Elimina le pagine segnalate da Google e ogni file che non riconosci nella cartella del sito. Cambia tutte le password, incluse quelle dell’hosting, dell’FTP e del database. Controlla la lista degli utenti amministratori e cancella quelli sconosciuti, che spesso l’attaccante crea per rientrare.

4. Sistema l’HTTPS. Verifica che il certificato SSL sia valido e non scaduto, e che tutto il traffico HTTP venga reindirizzato in modo permanente su HTTPS. Elimina i contenuti misti, cioè immagini o script caricati in HTTP dentro pagine sicure.

5. Richiedi la revisione da Search Console. Nella stessa sezione Problemi di sicurezza c’è il pulsante per chiedere una nuova verifica. Descrivi in modo concreto le azioni che hai fatto. Elenca quali file hai rimosso, cosa hai aggiornato, quali password hai cambiato. Google mette in coda la revisione e ci mette del tempo. Se la revisione fallisce vuol dire che è rimasto qualcosa di infetto, quindi ripeti il passo 3 con più attenzione ai file nascosti e ai job pianificati sul server.

Se non hai accesso alla Search Console. Il primo passo diventa dimostrare a Google di essere il proprietario del sito. Aggiungi la proprietà in Search Console e completa la verifica caricando il file HTML che Google ti fornisce nella root del sito, oppure inserendo il record TXT nel DNS del dominio. Senza questa verifica non puoi vedere i problemi di sicurezza né chiedere la revisione.

Un prompt che accelera il passo 5, se vuoi scrivere una richiesta di revisione chiara mentre hai la testa altrove:

“Sei un tecnico di sicurezza web. Ho ricevuto un avviso ‘Sito ingannevole’ su Google Safe Browsing per un sito WordPress. Ho fatto queste azioni: [incolla la lista]. Scrivi in italiano una richiesta di revisione per Google Search Console, di massimo 8 righe, che elenchi in modo tecnico e verificabile cosa ho fatto per rimuovere la minaccia e prevenire nuove compromissioni.”

Il problema che nessun avviso ti segnala

Puoi essere pulitissimo per Google e continuare a perdere clienti perché il tuo sito, agli occhi di una persona, sembra poco affidabile. Nessun browser ti manda una schermata rossa per questo. Il giudizio avviene nella testa del visitatore, in pochi secondi, e non lo vedi mai.

Come si forma questo giudizio è stato studiato in modo serio. Quando le persone valutano la qualità e l’autorevolezza di un sito, fanno due tipi distinti di valutazione, una predittiva, prima di entrare, e una valutativa, una volta dentro. Su questi giudizi pesano più categorie di fattori insieme ⁴. In pratica, per una PMI, il cliente decide se fidarsi guardando come è fatto il sito, chi sei, cosa dici di te e come ti presenti, molto prima di leggere davvero i tuoi contenuti.

C’è di più, e riguarda il rapporto tra fiducia nel marchio e credibilità del sito. In un esperimento su 424 persone, la fiducia nel brand influenzava l’intenzione d’acquisto, mentre la credibilità del sito da sola aveva effetti più modesti sulle stesse variabili ⁵. Questo rende il sito ancora più importante. Se il tuo marchio è poco conosciuto, come capita alla maggior parte delle PMI, il sito è il primo e spesso unico segnale di serietà che il cliente ha per decidere. Deve reggere quel peso da solo.

E i dark pattern, cioè i trucchetti che spingono la vendita a forza? Irritano le persone e danneggiano il marchio. Le persone li percepiscono come subdoli e disonesti, sviluppano un atteggiamento rassegnato e ne attribuiscono la colpa alle aziende che li usano ⁶. C’è di peggio. Le pratiche ingannevoli erodono l’esperienza di marca e il valore percepito del brand ³, anche quando nell’immediato spingono le persone a sottoscrivere o comprare di più ¹. Il countdown finto, il “solo 2 posti rimasti” che non è vero, il popup che nasconde la X di chiusura portano una vendita oggi e ti bruciano la reputazione domani. Per una PMI che vive di passaparola e clienti che tornano, è un pessimo affare.

Segnali di fiducia da mettere sul sito subito

La buona notizia è che i fattori che fanno percepire un sito come affidabile sono concreti e li controlli tu. Ecco la checklist che uso per l’audit di un sito PMI, divisa tra obblighi di legge e segnali di credibilità.

Gli adempimenti normativi sono anche potenti segnali di fiducia, ed è per questo che vanno messi bene in vista.

• Partita IVA e dati societari visibili. Mettila nel footer insieme a ragione sociale, sede e numero REA. Un footer con questi dati dice al visitatore che dietro il sito c’è un’azienda reale e rintracciabile.
• Informativa privacy e cookie a norma GDPR. Un banner cookie corretto e una pagina privacy completa mostrano che tratti i dati delle persone con serietà.
• Contatti veri e verificabili. Indirizzo fisico, telefono, email di dominio (non una casella gratuita). Una mappa reale della sede.

Poi ci sono i segnali di credibilità percepita, quelli che spostano il giudizio del visitatore anche senza che se ne accorga.

• HTTPS attivo su tutte le pagine, con il lucchetto sempre presente.
• Design coerente e curato. Font leggibili, immagini nitide, nessun testo tagliato, nessun placeholder “Lorem ipsum” dimenticato.
• Prove sociali autentiche. Recensioni verificabili, loghi di clienti reali con permesso, casi concreti con numeri veri.
• Chi c’è dietro. Una pagina “Chi siamo” con volti, nomi e ruoli reali. Le persone si fidano di persone.
• Nessun dark pattern. Prezzi chiari, condizioni di recesso leggibili, disiscrizione facile, niente scarsità inventata.

La cura del design ha un effetto concreto. Nel Web non esiste un meccanismo di controllo della qualità, quindi giudicare la qualità e l’autorevolezza di quello che si trova è un compito difficile per la maggior parte degli utenti ⁴. Un sito costruito con criterio comunica affidabilità prima ancora di una parola. Se il tuo attuale sito trasmette il messaggio sbagliato, è spesso perché mette insieme scelte fatte da mani diverse in anni diversi, senza una regia. Un team che cura design e struttura in modo coerente risolve alla radice il problema del sito che “sembra poco professionale”.

Come fare un audit di affidabilità con l’AI

L’intelligenza artificiale accelera parecchio la fase noiosa di passare in rassegna il sito pagina per pagina cercando i segnali che minano la fiducia. Il giudizio resta comunque tuo. Il processo corretto è prima decidere cosa cercare, poi usare l’AI come revisore instancabile. Ecco un prompt che puoi incollare in Claude o ChatGPT, dandogli in pasto il testo o gli screenshot delle tue pagine principali.

“Agisci come un consulente di conversione e fiducia per PMI italiane. Ti do i contenuti della home, della pagina servizi e della pagina contatti del mio sito. Valuta ogni pagina su questi segnali di affidabilità, ossia presenza di partita IVA e dati societari, contatti verificabili, informativa privacy, prove sociali autentiche, chiarezza dei prezzi, assenza di dark pattern (scarsità finta, countdown, disiscrizione difficile), coerenza del design. Per ogni segnale mancante o debole, dimmi dove sta il problema e come lo correggo in concreto. Rispondi in italiano, in una tabella con colonna Problema, Gravità da 1 a 3, Come sistemarlo.”

Un secondo passaggio utile è far cercare all’AI proprio i dark pattern, che chi scrive il sito spesso non riconosce come tali perché “funzionano”. Il fenomeno è documentato e diffuso. In un’analisi automatica su circa 53.000 pagine prodotto di circa 11.000 siti di e-commerce sono state trovate 1.818 istanze di dark pattern, riconducibili a 15 tipi e 7 categorie, con 183 siti coinvolti in pratiche apertamente ingannevoli ². Sapere quali sono i tipi ricorrenti ti aiuta a chiedere all’AI la cosa giusta.

“Elenca i dark pattern più comuni nell’e-commerce e nelle landing page (scarsità e urgenza artificiali, domande ingannevoli, ostruzione della disiscrizione, informazioni nascoste, linguaggio caricato). Poi analizza questi testi delle mie pagine [incolla] e segnala ogni frase o elemento che rientra in uno di quei pattern, spiegando perché un cliente potrebbe percepirlo come subdolo e con quale versione onesta lo sostituiresti.”

Il punto di tutto questo è togliere dal sito ciò che erode la fiducia e lasciare solo ciò che la costruisce. L’AI ti fa il lavoro sporco di individuazione, la decisione su cosa correggere resta tua.

Fonti

Footnotes

1. Shining a Light on Dark Patterns. academic.oup.com ↩ ↩² ↩³

2. Dark Patterns at Scale. doi.org ↩ ↩²

3. Dark patterns, dimmed brands: the erosion of equity through deceptive design in e-commerce. doi.org ↩ ↩²

4. Judgment of information quality and cognitive authority in the Web. repository.arizona.edu ↩ ↩²

5. Effects of Website Credibility and Brand Trust on Responses to Online Behavioral Advertising. doi.org ↩

6. Dark Design Patterns: An End-User Perspective. doi.org ↩