Il rapporto The State of Web Exposure 2026 di Reflectiz lancia un allarme chiaro: il 64% delle applicazioni di terze parti accede a dati sensibili senza una reale necessità, in netto aumento rispetto al 51% dell’anno precedente. Un segnale evidente di come la web exposure — la superficie di esposizione dei siti web — stia sfuggendo al controllo dei team di sicurezza.

Per web exposure si intendono i rischi legati a strumenti esterni come pixel di marketing, analytics, widget social e CDN, che operano nel browser dell’utente finale al di fuori dei tradizionali sistemi di protezione server-side.

L’analisi, condotta su oltre 4.700 siti in dieci settori, mostra un paradosso: meno dipendenze esterne, ma sicurezza complessivamente peggiore. Molte applicazioni raccolgono infatti dati non necessari, in violazione del principio di minimizzazione del GDPR. Tra i principali responsabili figurano Facebook Pixel (53% dei siti), Google Tag Manager (8% delle violazioni) e Shopify (5%).

Il 43% del rischio nasce dai dipartimenti marketing e digital, che introducono script senza adeguati controlli di sicurezza, spesso lasciando attivi tracker non più utilizzati. E se l’81% dei responsabili security considera gli attacchi web una priorità, solo il 39% dispone di strumenti adeguati per gestire i rischi delle terze parti.

Forti le differenze tra settori: le assicurazioni riducono le attività malevole del 60%, mentre l’istruzione è il comparto più esposto, con attività quadruplicate e un sito su sette compromesso. In crescita anche i rischi per la pubblica amministrazione; migliora l’e-commerce, mentre la sanità resta ferma.

Tra gli indicatori di rischio spicca l’età dei domini: interagire con domini registrati da meno di sei mesi aumenta di 3,8 volte la probabilità di attività malevole. I siti più sicuri utilizzano meno di otto applicazioni esterne e monitorano attentamente le CDN, oggi uno dei principali vettori di attacco alla supply chain.

Reflectiz raccomanda governance automatizzata, riduzione delle app attive nelle pagine critiche, eliminazione dei tracker inutilizzati e integrazione delle scelte di marketing nei processi di sicurezza IT.