Sviluppo web app

Una web app è un'applicazione che si usa dal browser, con accesso personale e dati che cambiano: portali clienti, aree riservate, prenotazioni, dashboard. Rispetto a un sito fa qualcosa, non solo mostra pagine. Nello sviluppo web app progettiamo applicazioni sicure, veloci e trovabili nelle parti pubbliche. Il costo è su preventivo, dopo un'analisi gratuita.

In questa pagina trovi la differenza tra sito, web app e app nativa, esempi, architettura, sicurezza, prestazioni, SEO, GDPR, quando conviene un SaaS già pronto, cosa contiene un MVP, i tempi e il costo.

Web app, sito e app nativa#

Un sito presenta contenuti uguali per tutti. Una web app riconosce chi sei, salva i tuoi dati e ti fa compiere operazioni: prenotare, caricare documenti, seguire un ordine. Spesso convivono nello stesso dominio: pagine pubbliche per farsi trovare, area riservata per lavorare.

L'app nativa si scarica da uno store e sfrutta tutte le funzioni del telefono, ma va sviluppata e pubblicata per ogni piattaforma. La web app funziona su qualsiasi dispositivo con un browser, e si aggiorna per tutti insieme. Una via di mezzo è la PWA, una web app installabile: ne parliamo nella pagina su app e progressive web app.

Esempi di web app#

• Portali clienti: documenti, fatture, stato delle pratiche.
• Aree riservate: contenuti o strumenti per soci, agenti, dipendenti.
• Prenotazioni: calendari, disponibilità, conferme e promemoria.
• SaaS: un servizio in abbonamento con account, piani e pagamenti.
• Dashboard: dati da più fonti, con filtri e report.

Se la web app serve a gestire l'interno dell'azienda, il caso è quello del software gestionale su misura.

Come è fatta: frontend, backend, database e API#

Una web app ha quattro parti:

• Frontend: quello che vedi nel browser. Usiamo React con TanStack Start, che permette il rendering lato server.
• Backend: la logica che applica le regole, controlla i permessi ed esegue le operazioni. Lavoriamo con Node.js, Python o PHP CodeIgniter 4.
• Database: dove stanno i dati. Usiamo MySQL o PostgreSQL.
• API: il modo con cui frontend, backend e servizi esterni, come pagamenti o posta, si parlano.

Il tutto gira su server Linux, con Ubuntu e nginx. Scegliamo gli strumenti in base al progetto, non il contrario.

Autenticazione e sessioni sicure#

Una web app protegge dati di persone, e l'accesso è il punto più delicato. Come riferimento usiamo l'OWASP Top 10:2025, che include il controllo degli accessi (A01), i fallimenti dell'autenticazione (A07), le iniezioni (A05) e gli errori di configurazione (A02). In pratica:

• password salvate solo come hash, mai in chiaro, e accesso a più fattori dove serve;
• sessioni con cookie protetti, scadenza e chiusura dalle impostazioni;
• controllo dei permessi sul server a ogni richiesta, non solo nell'interfaccia;
• input validati e query parametrizzate contro le iniezioni;
• segreti mai nel codice né nel repository, utente isolato per ogni applicazione, minimo privilegio;
• HTTPS, firewall, aggiornamenti automatici di sicurezza, backup verificati e rilasci reversibili.

Prestazioni e Core Web Vitals#

Una web app lenta viene abbandonata. Misuriamo i Core Web Vitals: secondo web.dev, un'esperienza buona ha LCP entro 2,5 secondi, INP entro 200 millisecondi e CLS entro 0,1, misurati sul 75% delle visite. L'INP conta molto nelle app, dove si clicca di continuo. Lo teniamo sotto controllo caricando solo il codice necessario a ogni pagina, ottimizzando le query e usando la cache dove ha senso.

SEO per le parti pubbliche#

L'area riservata non va indicizzata, ma landing page, schede, cataloghi o articoli di una web app sì. Un'applicazione che costruisce le pagine solo nel browser rende la scansione più difficile. Per questo usiamo il rendering lato server: Google riceve l'HTML già pronto, con URL puliti, title, dati strutturati e sitemap. Le indicazioni di base sono nella SEO Starter Guide di Google. Le pagine private le escludiamo in modo esplicito. Per la strategia sui contenuti c'è la consulenza SEO.

GDPR e dove stanno i dati#

Una web app tratta quasi sempre dati personali. Definiamo con te dove si trovano i dati (server scelto, backup, servizi esterni), chi vi accede e per quanto tempo si conservano. Se gestiamo noi il server, ci sono le regole del GDPR sul responsabile del trattamento (art. 28) e sulla notifica di violazioni al Garante entro 72 ore (art. 33). Per i cookie non tecnici serve un consenso attivo, come indica il Garante privacy. La parte legale resta al tuo consulente: noi prepariamo la parte tecnica.

Scalabilità#

Non ti serve l'architettura di un grande servizio il primo giorno. Partiamo semplici ma ordinati: database indicizzato, codice modulare, operazioni lente in coda, cache. Se gli utenti crescono, si può potenziare il server o separare le parti senza riscrivere tutto. Lo stack è standard, quindi altri sviluppatori possono prenderlo in mano.

Web app su misura o SaaS già pronto#

Prima di sviluppare, controlliamo se esiste già un servizio in abbonamento che fa il lavoro. Spesso esiste, e conviene usarlo. Un SaaS già pronto va bene se:

• il tuo processo è simile a quello di molte altre aziende, come un calendario di appuntamenti o un modulo di contatto evoluto;
• ti bastano le impostazioni previste e puoi adattarti al flusso del prodotto;
• ti serve partire subito e il canone è sostenibile anche con la crescita degli utenti.

Una web app su misura ha senso quando il processo è il tuo vantaggio sul mercato, quando devi collegare dati che i prodotti standard non collegano, quando il canone per utente diventa più pesante di uno sviluppo, o quando vuoi controllare dove stanno i dati. Esiste anche la via di mezzo: tieni il SaaS per ciò che fa bene e sviluppiamo solo il pezzo che manca, collegato con le integrazioni API.

Cosa contiene un primo MVP#

Un MVP non è una versione incompleta di tutto, ma la versione completa di una sola cosa: il percorso principale che i tuoi utenti devono poter fare. Di solito contiene:

• registrazione e accesso, con i ruoli strettamente necessari, per esempio cliente e amministratore;
• il flusso principale dall'inizio alla fine, come prenotare, caricare una pratica o seguire un ordine;
• un pannello di amministrazione essenziale per gestire utenti e dati;
• le notifiche via email indispensabili;
• sicurezza, backup e misurazione già attivi, perché non si aggiungono dopo.

Restano fuori, per la prima versione, report avanzati, automazioni secondarie e integrazioni non indispensabili. Le decidiamo insieme guardando come gli utenti usano davvero l'MVP.

Come lavoriamo: dall'MVP in poi#

1. Analisi. Obiettivi, utenti, funzioni indispensabili e cosa rimandare. Cosa consegniamo: elenco funzioni con priorità.
2. Prototipo. Schermate cliccabili per verificare il percorso. Cosa consegniamo: il prototipo da approvare.
3. MVP. La versione minima che risolve il problema principale, da far provare a utenti reali. Cosa consegniamo: app online, accessi e documentazione.
4. Test e correzioni. Prove su dispositivi e browser, controlli di sicurezza e prestazioni.
5. Evoluzione. Nuove funzioni in base a ciò che gli utenti fanno davvero, con rilasci incrementali.

Quanto tempo serve#

Dipende dal numero di funzioni, dalle integrazioni e dalla velocità delle approvazioni. Un MVP con poche funzioni arriva molto prima di un prodotto completo: per questo lo consigliamo come primo passo. Nel preventivo trovi le tempistiche per fase.

Quanto costa#

Il costo è su preventivo, dopo un'analisi gratuita del progetto. Dipende da funzioni, ruoli utente, integrazioni (pagamenti, posta, gestionali), quantità di dati, requisiti di sicurezza e manutenzione. Come si legge un preventivo lo spieghiamo in quanto costa un sito web. Il quadro generale è nell'hub sviluppo web.

Cosa non facciamo#

• Non ti leghiamo a noi. Codice, dominio, accessi e dati restano tuoi, con documentazione.
• Non pubblichiamo senza test di sicurezza e prestazioni.
• Non ti proponiamo una web app se basta un sito.

Chi segue il progetto#

Il referente è Eugenio Tommasi, che fa SEO dal 2009 e sviluppa siti e software. Un solo interlocutore per sviluppo, SEO, contenuti e campagne.

Il primo passo#

Descrivici l'idea e chi dovrà usarla: ti diciamo cosa serve per un MVP. Chiedi un preventivo. Se hai già un sito, parti dall'audit SEO gratuito.

Fonti#

• OWASP, Top 10:2025
• web.dev, Web Vitals
• Google, SEO Starter Guide
• Regolamento (UE) 2016/679 (GDPR)
• Garante privacy, cookie