Cos'è un audit di conformità web? Guida pratica per PMI
Un audit di conformità web verifica accessibilità, privacy e tracking rispetto alle leggi che si applicano dove vivono i tuoi visitatori. Versione pratica per PMI.
Se gestisci una PMI con un sito web, in cinque anni le regole da rispettare sono esplose. Le leggi sull'accessibilità ora si applicano alle aziende private in UE, UK, USA, Canada e Australia. I regolatori della privacy sono passati da lettere di richiamo a multe proporzionali al fatturato. Il consenso ai cookie, un tempo solo europeo, ora riguarda California, Colorado, Connecticut, Texas e altri stati.
Un audit di conformità web è la verifica strutturata che indica se il sito rispetta davvero le leggi applicabili. Questo articolo spiega cosa copre l'audit, come farlo senza settimane di consulenza e cosa una PMI deve sistemare per primo.
Cosa controlla davvero un audit
Non esiste una legge globale unica sulla "compliance web". L'audit è una check-list che parte dalle normative applicabili dove vivono i visitatori. Per le PMI che operano in UE, UK o USA, le quattro liste seguenti coprono il 90% del rischio reale.
1. Accessibilità
Il bersaglio operativo è WCAG 2.1 Livello AA, ma conviene sapere quale legge rinvia a quale versione. L'EAA (in vigore dal 28 giugno 2025) arriva a WCAG 2.1 AA attraverso la norma armonizzata EN 301 549. L'AODA impone WCAG 2.0 AA, non 2.1 (O. Reg. 191/11 art. 14, esclusi i criteri 1.2.4 e 1.2.5). Il UK Equality Act 2010 non nomina alcuno standard tecnico: nel Regno Unito WCAG 2.1 AA vincola solo il settore pubblico, tramite le Accessibility Regulations 2018. E nemmeno l'ADA Title III adotta uno standard, la regola del Dipartimento di Giustizia statunitense dell'aprile 2024 fissa WCAG 2.1 AA per i soli enti pubblici del Title II. Costruire su 2.1 AA soddisfa tutte e quattro, per questo resta l'obiettivo sensato.
Una scansione automatica copre la parte di WCAG verificabile a macchina, che si stima convenzionalmente intorno a un terzo dei criteri di successo: contrasto, alt mancanti, label dei form, link e pulsanti senza nome accessibile, lingua di pagina assente, ARIA non corretto. Non intercetta trappole da tastiera, ordine di focus, visibilità del focus, reflow, né la qualità reale di un testo alternativo. Veracly classifica 29 criteri WCAG come manuali e neutri ai fini del punteggio proprio per questo. Una scansione dice se hai i problemi evidenti; nessuna scansione dichiara che sei conforme.
Approfondimento: audit WCAG 2.1 AA spiegato.
2. Privacy e consenso
Per i visitatori UE/UK, il consenso a cookie e tracker non essenziali è obbligatorio prima dell'esecuzione dello script. Un audit reale cattura il traffico di rete al primissimo caricamento, prima che l'utente clicchi. Banner del tipo "continuando ad usare il sito acconsenti" o che caricano tracker in pageload sono la falla più comune, e la più visibile per il Garante.
Approfondimento: cos'è un audit GDPR dei cookie?
3. Tracking e analytics
Si esaminano pixel (Meta, TikTok, LinkedIn, Google Ads), session-recorder (Hotjar, FullStory, Microsoft Clarity), tag pubblicitari e qualunque tool che mandi comportamento del visitatore a terzi. Ognuno ha implicazioni GDPR, ePrivacy e crescenti di leggi statali USA. La soluzione quasi mai è rimuoverli, è caricarli dopo il consenso e dichiararli.
Approfondimento: audit dei pixel: GDPR ed ePrivacy.
4. Pagine legali obbligatorie
- Privacy policy allineata a ciò che il sito realmente fa
- Cookie policy con inventario aggiornato
- Dichiarazione di accessibilità (obbligatoria sotto EAA da giugno 2025)
- Dati societari/sede legale (obbligatori in base al D.Lgs. 70/2003)
- Termini di servizio se vendi qualsiasi cosa
Vale la pena chiarire quale metà di questa lista uno scanner può davvero risolvere. Veracly verifica che privacy policy, dichiarazione di accessibilità e dati societari esistano e rispondano sul tuo stesso dominio, e segnala i tracker che vede caricarsi il cui nome non compare da nessuna parte nel testo della privacy. Non legge la policy in cerca del titolare, della base giuridica o dei tempi di conservazione; non confronta la tua tabella cookie con i cookie effettivamente impostati; e i termini di servizio non li controlla affatto. Quella è lettura umana. Preferiamo dirlo, piuttosto che lasciare che una spunta verde faccia pensare al parere di un legale.
Audit manuale vs. scansione continua
Un audit di consulenza costa 5.000 to 20.000 € e richiede 2 to 6 settimane su un sito PMI. Ottimo come fotografia, ma la maggior parte delle regressioni avviene dopo, nei rilasci normali. Un widget nuovo, un form ridisegnato, un tool aggiunto dal marketing senza avvisare lo sviluppo. La scansione continua lo intercetta il giorno stesso.
Cosa deve sistemare per prima una PMI
- Bloccare tracker prima del consenso. Rischio più alto, fix più semplice. Sposta ogni pixel Meta/TikTok/LinkedIn e ogni analytics non essenziale dietro un controllo di consenso.
- Sostituire il banner "continuando acconsenti" con uno a pulsanti Accetta e Rifiuta di pari peso. Il Garante ha già multato la versione opposta.
- Correggere le principali violazioni WCAG. Contrasto, alt mancanti, label, focus, trappole tastiera.
- Pubblicare la dichiarazione di accessibilità. Obbligatoria sotto EAA da giugno 2025.
- Aggiornare la privacy policy alla realtà del sito. Quasi tutte le policy PMI sono template scollati dal sito reale. Il Garante controlla.
Errori comuni
Affidarsi a un overlay di accessibilità. La FTC ha multato accessiBe per 1 M USD a gennaio 2025 per marketing ingannevole. Gli overlay non creano conformità, mascherano problemi a runtime; il codice resta vulnerabile a cause.
Trattare la conformità come solo USA o solo UE. La maggior parte dei siti PMI serve visitatori da più giurisdizioni.
Auditare una volta sola. Pattern tipico: audit serio, report pulito, sei mesi di rilasci, lettera del regolatore. Integra l'audit nel processo di release.
Come Veracly affronta il problema
Veracly è costruito per la versione PMI di questo problema. Una scansione produce simultaneamente report contro EAA, GDPR ed ePrivacy, ADA, UK Equality Act e AODA. Le leggi statali USA sulla privacy non sono nel motore, e preferiamo dichiarare la lacuna piuttosto che allungare l'elenco.
La scansione gratuita copre una pagina, una volta ogni sette giorni per indirizzo email. Usa gli stessi analizzatori, gli stessi rule pack e lo stesso punteggio di una scansione a pagamento, quindi i rilievi sono reali, ma arriva deliberatamente con spiegazioni AI limitate ai suoi tre rilievi principali, senza screenshot di prova e senza fix pronti da incollare, ed è una fotografia singola, non monitoraggio continuo. Quelli arrivano con un piano a pagamento. Avvia la scansione gratuita e vedi il tuo sito come lo vedrebbe un regolatore, prima che lui lo faccia.
Domande frequenti
Cosa copre un audit di conformità web?
Quattro aree: accessibilità (almeno WCAG 2.1 AA), privacy e consenso (GDPR, ePrivacy, leggi statali USA come CCPA), configurazione di tracking e analytics, pagine legali obbligatorie (privacy policy, dichiarazione di accessibilità, dati societari).
Un audit è obbligatorio per legge?
Nessun regolatore impone l'audit, ma le leggi, GDPR, EAA, ADA, UK Equality Act, sono applicabili oggi. L'audit è il modo pratico per conoscere l'esposizione prima che arrivi un reclamo.
Con che frequenza fare un audit?
Un audit di base, poi scansioni continue a ogni modifica del sito. La maggior parte dei problemi nasce nei rilasci di routine, un nuovo script, un form ridisegnato, un widget di terze parti, non nella costruzione iniziale.
Quanto dura un audit?
Una scansione automatica su accessibilità, cookie e tracker si chiude in minuti. Un audit manuale di consulenza dura 2 to 6 settimane per un sito PMI e costa 5.000 to 20.000 €.
Scopri a che punto è il tuo sito.
Esegui una scansione Veracly gratuita e ottieni un report multi-giurisdizione, EAA, GDPR, ADA, UK Equality Act, AODA, con fix pronte da incollare per gli sviluppatori.
Avvia scansione gratuita