Aggiungi il tuo Trust Badge
in due minuti.

Anteprima e installazione del badge

Prova gli stili qui sotto per vedere esattamente cosa vedranno i visitatori. Quando sei pronto, il tuo codice personalizzato ti aspetta nella dashboard: non servono competenze di programmazione.

<div class="pcrisk-badge"
     data-style="shield"
     data-size="medium"
     data-theme="light"
     style="min-width:214px;min-height:141px;font-size:0;line-height:0"></div>
<script src="https://scanner.pcrisk.com/badge/trust-badge.js" defer></script>

Guide piattaforma

Due modi per aggiungere il badge: installa il nostro plugin oppure incolla lo snippet dalla dashboard. Scegli la piattaforma qui sotto: in entrambi i casi bastano pochi minuti.

Personalizza il badge

Le tue scelte sono in data-* attributi nel posizionamento dello snippet <div> - il designer della dashboard li imposta tutti quando genera il tuo codice. Per cambiarne lo stile in seguito, scegli lì un nuovo aspetto e incolla lo snippet aggiornato sopra quello vecchio. Ecco cosa controlla ogni attributo.

Il badge non appare?

Segui questi passaggi in ordine - i primi due risolvono la grande maggioranza dei casi.

script-src  https://scanner.pcrisk.com
connect-src https://scanner.pcrisk.com
style-src   'unsafe-inline'

Come lo verificano i visitatori

Un badge che chiunque può falsificare non ispira fiducia. Il nostro è verificabile in modo indipendente: è questo che lo rende utile da mostrare.

Cosa succede se viene rilevata una minaccia

Non mostrerai mai un sigillo “verificato” su un sito compromesso.

Avvisi Slack & webhook

Ricevi gli stessi avvisi che inviamo via email - minaccia rilevata, tutto ok, scansione non completata - inviati a Slack o al tuo endpoint, negli stessi momenti. Configura entrambi nella dashboard in Impostazioni → Integrazioni avvisi.

Slack

In Slack, crea un Incoming Webhook per il canale che vuoi (Slack: App → Incoming Webhooks → Aggiungi a un canale), incolla l' hooks.slack.com URL nella dashboard e premi Invia test Slack. Configurazione completata: nessun codice richiesto.

Webhook

Noi inviamo JSON via POST al tuo endpoint HTTPS. Quattro tipi di evento:

• alert.opened - una scansione ha segnalato il sito (punteggio sotto 70); il badge è sospeso.
• alert.resolved - una scansione successiva è risultata pulita; il badge è ripristinato.
• scan.failed - la scansione giornaliera non ha potuto completarsi (sito irraggiungibile); inviata una volta per interruzione.
• test - il Invia test webhook pulsante.

{
  "event": "alert.opened",
  "domain": "example.com",
  "trust_score": 55,
  "threat_type": "suspicious",
  "severity": "medium",
  "occurred_at": "2026-07-07T08:28:36.874Z"
}

Ogni richiesta include tre header: Content-Type: application/json, X-PCrisk-Event (tipo di evento), e X-PCrisk-Signature - sha256= seguito dall’HMAC SHA-256 esadecimale del corpo grezzo della richiesta, calcolato con il signing secret mostrato nella dashboard. Verificalo prima di fidarti della consegna.

Semantica di consegna: attendiamo fino a 5 secondi una risposta e consideriamo qualsiasi 2xx come accettato; una consegna non riuscita viene ritentata una volta, ~15 secondi dopo, poi scartata. Tratta i webhook come notifiche, non come registro: la dashboard è lo stato di riferimento.

const crypto = require('crypto');
const express = require('express');
const app = express();

// express.raw keeps the body as the exact bytes we signed
app.post('/hooks/pcrisk', express.raw({ type: 'application/json' }), (req, res) => {
  const expected = 'sha256=' + crypto
    .createHmac('sha256', process.env.PCRISK_WEBHOOK_SECRET)
    .update(req.body) // Buffer
    .digest('hex');
  const given = req.get('X-PCrisk-Signature') || '';
  const ok = given.length === expected.length &&
    crypto.timingSafeEqual(Buffer.from(given), Buffer.from(expected));
  if (!ok) return res.status(401).end();

  const event = JSON.parse(req.body);
  console.log(event.event, event.domain, event.trust_score);
  res.status(200).end(); // any 2xx marks the delivery as accepted
});

app.listen(3000);

<?php
$secret   = getenv('PCRISK_WEBHOOK_SECRET');
$raw      = file_get_contents('php://input'); // raw body, before any parsing
$given    = $_SERVER['HTTP_X_PCRISK_SIGNATURE'] ?? '';
$expected = 'sha256=' . hash_hmac('sha256', $raw, $secret);

if (!hash_equals($expected, $given)) {
    http_response_code(401);
    exit;
}

$event = json_decode($raw, true);
// $event['event'], $event['domain'], $event['trust_score'], ...
http_response_code(200); // any 2xx marks the delivery as accepted

import hashlib, hmac, os
from flask import Flask, request, abort

app = Flask(__name__)
SECRET = os.environ["PCRISK_WEBHOOK_SECRET"].encode()

@app.post("/hooks/pcrisk")
def pcrisk_hook():
    raw = request.get_data()  # raw body, before parsing
    expected = "sha256=" + hmac.new(SECRET, raw, hashlib.sha256).hexdigest()
    given = request.headers.get("X-PCrisk-Signature", "")
    if not hmac.compare_digest(expected, given):
        abort(401)

    event = request.get_json()
    # event["event"], event["domain"], event["trust_score"], ...
    return "", 200  # any 2xx marks the delivery as accepted

# run with: flask --app hook run --port 3000

Stai cambiando endpoint? Salva il nuovo URL nella dashboard e invia un test: il signing secret resta lo stesso per il tuo account. Gli avvisi sono per incidente (uno alert.opened per episodio sotto 70, non uno per scansione), quindi il tuo canale non sarà sommerso da un sito che resta segnalato.

REST API

Importa domini, punteggi, cronologia scansioni e avvisi nelle tue dashboard, report e nel monitoraggio. Accesso in lettura su Pro; il piano Business aggiunge la gestione dei domini. L’API espone solo tuoi domini monitorati.

Autenticazione

Crea una chiave nella dashboard in Impostazioni → Chiavi API (viene mostrata una sola volta: memorizziamo solo un hash) e inviala come token Bearer. Le chiavi ereditano i permessi dal tuo piano attuale e, se ne revochi una nella dashboard, viene disattivata subito.

curl https://scanner.pcrisk.com/api/v1/domains   -H "Authorization: Bearer pcrisk_live_YOUR_KEY"

{
  "success": true,
  "data": [
    {
      "domain": "example.com",
      "status": "verified",
      "trust_score": 92,
      "threat_type": "clean",
      "last_scanned": "2026-07-07T06:12:04.000Z",
      "open_alerts": 0,
      "badge_visible": true,
      "badge_live": true
    }
  ]
}

Endpoint

GET /api/v1 - rilevamento: il tuo piano e livello.
GET /api/v1/domains - tutti i tuoi domini con punteggio attuale, tipo di minaccia e stato del badge.
GET /api/v1/domains/{domain} - un dominio.
GET /api/v1/domains/{domain}/history - cronologia dei punteggi di scansione (la profondità dipende dal tuo piano).
GET /api/v1/alerts - ultimi avvisi di minaccia su tutti i domini, aperti e risolti.
POST /api/v1/domains (Business) - aggiungi un dominio; il monitoraggio parte subito. Body: {"domain": "example.com"}.
DELETE /api/v1/domains/{domain} (Business) - rimuovi un dominio; le scansioni si fermano, il badge non viene più mostrato.

Prova

Incolla una chiave API dalla dashboard (Impostazioni → Chiavi API) e richiama qui qualsiasi endpoint di lettura. La chiave viene usata solo per questa richiesta, verso questo sito: nulla viene salvato e la richiesta conta nel tuo limite di rate come qualsiasi altra.

Convenzioni: ogni risposta è JSON con success e anche data o codice.errore + messaggio.errore (401 chiave non valida, 403 piano/livello, 404 non tuo, 429 limite di richieste raggiunto). Il limite è 60 richieste/minuto per chiave - controlla gli header X-RateLimit-Remaining e Retry-After .