La domanda che le persone digitano davvero è corta: se NordVPN è sicuro. La risposta onesta deve iniziare spezzandola in due, perché quasi tutto ciò che si pubblica sotto questo titolo risponde a una domanda che nessuno ha fatto.
C'è il servizio: la cifratura, la politica di non conservazione dei log, chi possiede l'azienda, cosa succede quando un giudice chiede. E c'è il sito web: il posto dove digitate il numero della vostra carta. Il secondo si può misurare dall'esterno, subito, da chiunque. Il primo no.
Abbiamo quindi misurato il secondo, su trenta provider in una volta sola.
Cosa abbiamo fatto, il 20 agosto 2026
Una richiesta GET alla homepage di ogni provider, cercando sei intestazioni di risposta HTTP su cui
il browser agisce: Strict-Transport-Security, Content-Security-Policy, X-Frame-Options,
X-Content-Type-Options, Referrer-Policy e Permissions-Policy. Presente o assente, punteggio su
sei. Hanno risposto ventinove host su trenta.
Il file grezzo, l'elenco dei provider e la regola di punteggio sono pubblicati come insieme di dati con DOI 10.5281/zenodo.22032840. Potete quindi non essere d'accordo con la nostra lettura senza dover credere a noi sulla parola.
Il risultato
| intestazione | provider che la servono |
|---|---|
| Strict-Transport-Security | 26 su 29 (90 %) |
| X-Content-Type-Options | 25 su 29 (86 %) |
| X-Frame-Options | 23 su 29 (79 %) |
| Referrer-Policy | 14 su 29 (48 %) |
| Content-Security-Policy | 10 su 29 (34 %) |
| Permissions-Policy | 8 su 29 (28 %) |
Media: 3,66 su 6.
Cinque provider ottengono 6 su 6: cryptostorm.is, mullvad.net, nordvpn.com, torguard.net e windscribe.com. Uno ottiene 0 su 6: fastestvpn.com non ne serviva nessuna.
La parte interessante è a metà tabella. HSTS è quasi universale perché è una riga di configurazione e
tutte le guide di hosting la citano. La Content-Security-Policy è quella che richiede lavoro vero,
perché obbliga a controllare ogni script che il reparto marketing ha aggiunto negli anni. Due
provider VPN su tre non l'hanno fatto.
Niente di ciò che si vede in questa foto è quello che l'articolo misura. Le intestazioni di sicurezza sono configurazione, non cablaggio, e quella distanza è più o meno la stessa che separa « il sito è ben configurato » da « il servizio è affidabile ».
Allora, NordVPN è sicuro?
Su questa misurazione, il suo sito è tra i meglio configurati del settore. È un segnale reale, e piccolo.
Reale, perché è la prova più economica che esista per capire se un'organizzazione che vende sicurezza la applica a se stessa. Un provider con l'insieme completo di intestazioni ha qualcuno che si occupa delle parti noiose.
Piccolo, perché una scansione delle intestazioni misura il sito web, non il servizio VPN. Non può dirvi se vengono conservati dei log. Non può dirvi cosa fa davvero il tunnel con il vostro traffico. Non può dirvi chi possiede l'azienda questo trimestre. Se siete venuti per sapere se NordVPN è sicuro nel senso che conta di più, questo articolo vi ha dato un dato tra i tanti, e conviene diffidare di chi vi porge un sei su sei come risposta.
La parte che preferiremmo non stampare
Abbiamo controllato le nostre intestazioni prima di pubblicare. vpnsmith.com serve davvero una
Content-Security-Policy, il che ci mette in quel 34 % e dalla parte giusta della nostra tabella.
Bisogna però leggerla:
script-src 'self' 'unsafe-inline' 'unsafe-eval' https:
Questa politica consente gli script inline, consente eval e consente script da qualsiasi host su
HTTPS. Contro gli attacchi di iniezione per cui una CSP esiste, non protegge quasi nulla.
Serviamo l'intestazione. Non serviamo davvero la difesa.
È questa la vera lezione dell'insieme di dati, e il motivo per cui l'avvertenza è stampata nel record stesso: la presenza non è la correttezza. Dieci provider hanno una CSP. Non abbiamo verificato quanti di quei dieci ne abbiano una che valga qualcosa, perché richiede di leggere ogni politica riga per riga, e quel lavoro non è ancora stato fatto. Quando lo sarà, questo articolo verrà aggiornato con una data nuova.
Come leggere questi dati senza sovrainterpretarli
Quattro limiti, tutti scritti nel record pubblicato:
- Una osservazione, un istante. 20 agosto 2026. Le intestazioni cambiano, a volte ogni settimana.
- Un solo punto di osservazione. Una CDN può iniettare o rimuovere intestazioni a seconda del nodo. Il vostro risultato può differire.
- Solo la homepage. La pagina di pagamento e quella dell'account sono le più importanti, e non sono in questa scansione.
- Presenza, non correttezza. Come sopra, e non è una nota a piè di pagina minore. È il rischio principale di leggere male l'intera tabella.
Nulla di questo rende la misurazione inutile. La rende un punto di partenza che potete riprodurre in un pomeriggio, cosa che poche classifiche del « VPN più sicuro » possono dire di se stesse.
Cosa farne
Se state scegliendo una VPN, usatelo come usereste una cucina pulita al ristorante: dice qualcosa su come è gestito il locale, e nulla su quanto vi piacerà il cibo. Leggete i rapporti di audit, leggete la giurisdizione, leggete cosa è successo l'ultima volta che il provider ha ricevuto una richiesta giudiziaria.
Se gestite un sito web, la conclusione utile non riguarda le VPN. Riguarda il fatto che servire un'intestazione e servire una difesa sono due progetti diversi, e che il primo è abbastanza facile perché la sua presenza dimostri molto meno di quanto si creda. Lo sappiamo: è esattamente quello che abbiamo fatto noi.
★ Datacenter GDPR di Norimberga · ✓ IPv4 dedicato incluso · 200+ Mbps garantiti
Ottieni ContaboGaranzia soddisfatti o rimborsati di 30 giorni→
