Portali integrati, prenotazioni dirette e PWA

01Un portale solo, un posto solo per i dati

Guarda come lavora oggi una piccola attività che riceve clienti su appuntamento: un'agenda di carta o sul telefono, un foglio di calcolo con i contatti, le richieste che arrivano su WhatsApp, per email, al telefono e da una o due piattaforme di prenotazione, ognuna con il suo pannello. Ogni canale ha un pezzo della verità, nessuno ce l'ha tutta.

Una scena che forse conosci: è sabato mattina, una cliente entra sorridente per il suo appuntamento delle dieci. Peccato che alle dieci ci sia già un'altra persona, prenotata da un collega via telefono mentre la prima aveva scritto su WhatsApp. Nessuno ha sbagliato davvero: semplicemente, le due agende non si parlavano.

Il risultato si conosce: la stessa ora data a due persone, il cliente abituale che non viene riconosciuto, il numero di telefono che sta solo nel cellulare di chi ha risposto, il pomeriggio passato a ricopiare dati da una parte all'altra. E soprattutto: nessuno sa davvero quanti clienti ha l'attività, quanti tornano, da dove arrivano.

Un portale integrato rovescia lo schema. C'è un unico archivio, sul tuo server, da cui partono il sito, le prenotazioni, l'area riservata dei clienti, le email automatiche e i collegamenti con il gestionale. Ogni canale scrive nello stesso posto, ogni persona dello staff vede la stessa situazione nello stesso momento.

Cosa cambia, in concreto

• Una scheda per cliente: storico delle visite, preferenze, consensi, documenti, tutto nello stesso posto.
• Disponibilità vera: se lo staff blocca un'ora sul gestionale, il sito non la offre più, nello stesso momento.
• Meno lavoro ripetuto: conferme, promemoria e ricevute partono da sole, perché il sistema sa cosa è successo.
• Numeri reali: quanti clienti nuovi, quanti tornano, quali servizi rendono di più, da quale canale arrivano.

Perché tutto questo regga ci vuole una base adatta: un portale con accessi, prenotazioni e lavori pianificati ha bisogno di un server con risorse riservate, come spiego nel capitolo sull'infrastruttura web professionale.

02Le prenotazioni dirette: niente commissioni, dati tuoi

Le grandi piattaforme di prenotazione hanno un merito vero: portano visibilità. Ma il servizio si paga, e non solo in denaro. Ogni prenotazione che passa da un intermediario porta con sé tre costi.

1. La commissione su ogni cliente, anche su quelli che erano già tuoi

L'intermediario trattiene una percentuale su ogni prenotazione, secondo il contratto che hai firmato. La paghi sul cliente nuovo, e va bene; ma la paghi anche sul cliente abituale che ti conosceva già e ha semplicemente usato l'app che aveva sul telefono. Con un sistema di prenotazione sul tuo sito, il cliente che torna non costa una commissione.

2. Il rapporto con il cliente resta all'intermediario

Chi prenota su una piattaforma è prima di tutto un cliente della piattaforma. Le regole su quali dati ricevi, come puoi contattarlo e cosa puoi proporgli le decide chi gestisce il servizio. Con le prenotazioni dirette, il cliente lascia i suoi dati a te, con il suo consenso, e puoi riscrivergli per la prossima stagione, per una novità, per un ringraziamento.

3. La disponibilità che si rincorre

Più canali di prenotazione significano più calendari da tenere allineati. Se l'allineamento non è immediato, nasce il rischio della doppia prenotazione: due persone, lo stesso posto, la stessa ora. Un portale proprio è l'unico calendario vero: le eventuali piattaforme esterne si sincronizzano con lui, non il contrario.

Non si tratta di abbandonare le piattaforme da un giorno all'altro: per molte attività restano un canale utile per farsi conoscere. Si tratta di trasformare ogni cliente arrivato da fuori in un cliente diretto per la volta successiva, con un sistema tuo pronto ad accoglierlo.

03La sicurezza del portale e dei gestionali

Un portale che raccoglie nomi, telefoni, email, date di nascita, a volte documenti e preferenze, custodisce dati personali. Il Regolamento europeo sulla protezione dei dati (GDPR), all'articolo 32, chiede a chi li tratta misure tecniche e organizzative adeguate al rischio, citando espressamente la cifratura, la capacità di garantire riservatezza e disponibilità e di ripristinare i dati dopo un incidente. Non è burocrazia: è la descrizione di un software fatto bene.

Strato 1 · La strada: HTTPS su tutto

Tutto il traffico fra il telefono del cliente e il server viaggia cifrato con il protocollo HTTPS (TLS): chi si trova sulla stessa rete Wi-Fi pubblica non può leggere né modificare quello che passa. Oggi il certificato si ottiene e si rinnova automaticamente; un sito senza HTTPS viene segnalato dai browser come «non sicuro» e, come vedremo, non può nemmeno diventare una PWA. Come funzionano dominio e certificato lo spiego nel capitolo su dominio, DNS e HTTPS.

Strato 2 · La porta: chi entra e come

Le password dei clienti non si salvano mai leggibili: si conserva solo un'impronta calcolata con algoritmi fatti apposta, da cui la password non si ricava. Per lo staff, che vede i dati di tutti, si aggiunge l'autenticazione a due fattori. Le regole complete sono nel capitolo su password, autenticazione a due fattori e passkey.

Strato 3 · Il codice: niente comandi infilati nei moduli

Ogni campo che il cliente compila, dal nome al messaggio, è un punto da cui qualcuno può provare a mandare istruzioni al database: è la SQL injection. La prima difesa raccomandata dall'OWASP sono le query parametrizzate, in cui il valore scritto dall'utente resta sempre un dato e non diventa mai parte del comando. A questo si aggiungono il controllo di ogni dato in ingresso, la protezione dei moduli dagli invii automatici e i limiti ai tentativi ripetuti.

Strato 4 · L'archivio: meno dati, meno permessi, copie fuori sede

• Minimizzazione: si raccolgono solo i dati che servono davvero. Quello che non hai non può esserti rubato.
• Permessi minimi: il programma accede al database con un utente che può fare solo quello che serve, non con l'amministratore.
• Cifratura dei dati sensibili anche quando sono fermi sul disco.
• Backup automatici che escono dal server, provati con un ripristino vero: il metodo è nel capitolo sul backup aziendale.

Sopra a tutto ci sono gli obblighi verso le persone: informativa chiara, consensi separati per il marketing, diritto di chiedere i propri dati o di farli cancellare. Li riprendo nel capitolo su GDPR e cookie per il sito di una piccola attività.

04Le PWA: l'app che si installa dal browser

Per anni la strada obbligata per avere «un'app» è stata una sola: svilupparla due volte, una per iPhone e una per Android, pubblicarla sugli store, aspettare le approvazioni, chiedere ai clienti di scaricarla. Una PWA (Progressive Web App) cambia le regole: è il tuo sito, costruito in modo da potersi installare sul telefono come un'app, con la sua icona, la sua finestra a schermo intero e, quando serve, il funzionamento senza rete.

Cosa serve perché un sito diventi una PWA

Secondo la documentazione di Mozilla (MDN), per essere installabile una web app ha bisogno di due cose:

• un manifest, un piccolo file che dichiara nome, icone (almeno da 192 e 512 pixel per i browser basati su Chromium), pagina di partenza e modo di visualizzazione;
• essere servita in HTTPS, cioè su connessione cifrata.

A questi si aggiunge quasi sempre un service worker: uno script che lavora dietro le quinte, conserva una copia delle pagine e dei dati utili e permette all'app di aprirsi anche quando la rete manca. Non è obbligatorio per l'installazione, ma è ciò che rende una PWA davvero utile nel mondo reale: il cliente che apre la sua prenotazione in metropolitana, il cameriere che consulta il menu in una sala senza campo.

PWA e app nativa a confronto

Per la grande maggioranza dei servizi di una piccola o media attività (prenotare, consultare un menu, vedere i propri appuntamenti, ricevere un promemoria, mostrare una tessera fedeltà) la PWA fa tutto quello che serve, con una frazione dei costi e dei passaggi. L'app nativa resta la scelta giusta quando serve un accesso profondo all'hardware o la presenza nello store è essa stessa un obiettivo.

05La verità su iPhone e Android

Qui serve onestà, perché molte presentazioni delle PWA la saltano: l'esperienza non è identica sui due sistemi, e un progetto serio la tiene in conto dal primo giorno.

Su Android: il browser lo propone da solo

Sui browser basati su Chromium, come Chrome e Samsung Internet, quando un sito ha i requisiti di una PWA il browser può proporre l'installazione con un avviso o con la voce «Installa app» nel menu. Con Chrome l'app installata compare fra le altre app del telefono, con la sua icona. Il sito può anche mostrare un suo pulsante «Installa» al momento giusto, per esempio dopo la prima prenotazione.

Su iPhone e iPad: si aggiunge a mano

Su iOS e iPadOS non esiste un avviso automatico di installazione. Il cliente deve farlo da sé, in quattro gesti:

Per questo una PWA ben fatta riconosce l'iPhone e mostra, al momento giusto, un piccolo riquadro con questi passaggi illustrati. È un dettaglio di progetto che fa la differenza fra una PWA che nessuno installa e una che finisce sulla schermata di molti clienti.

Le notifiche su iPhone: solo dopo l'installazione

Dalla versione 16.4 di iOS e iPadOS anche le web app possono ricevere notifiche push, ma con due condizioni precise, descritte da Apple stessa nel blog di WebKit:

• la web app deve essere stata aggiunta alla schermata Home: da una normale scheda di Safari le notifiche non si attivano;
• il permesso si chiede solo dopo un gesto dell'utente, per esempio il tocco su un pulsante «Avvisami».

Ne segue una regola pratica: le notifiche sono un premio per chi installa, non il motivo per cui installare. Il servizio deve essere utile già senza.

06Il QR in vetrina: dal marciapiede al telefono del cliente

Ed eccoci alla strategia che unisce il mondo fisico a quello digitale, e che costa pochissimo: un QR Code esposto sulla vetrina del negozio, dello studio o del locale, che porta chi passa direttamente dentro la tua PWA. È il ponte più corto che esista fra chi cammina davanti alla tua porta e un cliente che ti ritrova ogni volta che apre il telefono.

Funziona perché oggi la fotocamera dei telefoni legge i QR Code da sola, senza app da scaricare: si inquadra, compare il link, si tocca. Funziona anche quando sei chiuso: la vetrina lavora alle dieci di sera e la domenica mattina.

Passo 1 · Il QR porta a un indirizzo tuo, che non cambierà

Il QR Code è stampato: una volta in vetrina, non lo cambi più. Per questo deve contenere un indirizzo del tuo dominio, pensato per durare, come tuosito.it/vetrina, che poi il server indirizza alla pagina giusta. Se domani cambi offerta, cambi la destinazione sul server, non l'adesivo. Mai un QR che punta a un servizio di terzi che può chiudere o chiedere un abbonamento per continuare a funzionare. Perché il dominio debba essere intestato a te lo spiego nel capitolo su chi possiede davvero il tuo sito.

Passo 2 · Una ragione per inquadrarlo

Nessuno inquadra un quadratino nero per curiosità. Accanto al QR serve una frase che dica cosa si ottiene, subito: «Prenota il tuo tavolo anche quando siamo chiusi», «Il menu del giorno sul tuo telefono», «Prenota la prossima visita in dieci secondi», «La tua tessera fedeltà sempre con te». Una promessa concreta, una sola.

Passo 3 · Il QR si deve poter leggere davvero

• All'altezza degli occhi, dove lo sguardo cade naturalmente, non in basso fra gli adesivi delle carte di credito.
• Abbastanza grande da essere inquadrato dal marciapiede: prima di stamparlo, prova tu con due telefoni diversi dalla distanza a cui starà chi passa.
• Contrasto netto: scuro su chiaro, con un margine bianco intorno, lontano da riflessi e da vetri sporchi.
• Illuminato anche la sera, quando la vetrina lavora da sola.

Passo 4 · La pagina d'arrivo fa una cosa sola

Chi inquadra il QR è in piedi, sul marciapiede, con poca pazienza. La pagina che si apre deve caricarsi in un istante e mantenere la promessa della vetrina, con un solo pulsante principale. Subito sotto, il riquadro per installare l'app: con il pulsante «Installa» su Android e le istruzioni illustrate su iPhone, riconosciute in automatico.

Passo 5 · Il motivo per tenerla

Installare l'app è un piccolo impegno, e lo si prende solo se conviene. I motivi che funzionano sono pratici: prenotare senza telefonare, vedere i propri appuntamenti, ricevere il promemoria il giorno prima, accumulare punti, sapere per primi delle novità. Più la PWA è utile, più resta sul telefono.

Passo 6 · Misurare, senza schedare nessuno

Aggiungi all'indirizzo del QR un parametro che ne indichi la provenienza, per esempio ?da=vetrina. Così sai quante visite arrivano dalla strada rispetto al sito o ai social, senza raccogliere dati personali. Se usi strumenti di statistica che installano cookie, valgono le regole del capitolo su GDPR e cookie.

Il risparmio, rispetto a un'app tradizionale

• Nessun costo di pubblicazione negli store e nessuna revisione da aspettare.
• Un solo sviluppo, che è anche il tuo sito e la tua pagina di prenotazione.
• Nessuna ricerca nello store: il cliente non deve trovare l'app fra mille con nomi simili.
• Un adesivo al posto di una campagna pubblicitaria: il canale più economico che esista per un'attività con una porta su strada.

Il QR in vetrina funziona ancora meglio insieme agli altri strumenti del commercio di prossimità, come il volantino nel quartiere: li metto insieme nel capitolo su come passare dall'online al negozio fisico.

07Sito, portale e PWA: un ecosistema che appartiene a te

Mettiamo insieme i pezzi. Un sito che si fa trovare, un portale che tiene in un posto solo clienti e prenotazioni, una PWA che sta sulla schermata Home dei clienti, un QR in vetrina che porta dentro chi passa. Ogni pezzo rafforza gli altri, e tutti appartengono alla tua attività: dominio, dati, rapporto con i clienti, regole.

È una differenza sostanziale rispetto a quello che accade su piattaforme e social, dove la visibilità, i contatti e perfino l'esistenza della pagina dipendono da decisioni prese altrove. Per questo questo ecosistema proprietario, sito più PWA, è l'unico vero bene digitale per trovare clienti senza dipendere dai social: i social restano utili per farsi notare, ma la casa è un'altra. Ne parlo nel prossimo capitolo: il sito web come bene di proprietà e i social come megafono.

Domande frequenti

Fonti

1. MDN Web Docs, «Making PWAs installable»: manifest, icone, HTTPS e ruolo del service worker.
2. web.dev (Google), «Learn PWA: Installation»: l'installazione su Android e l'aggiunta manuale su iOS e iPadOS.
3. WebKit (Apple), «Web Push for Web Apps on iOS and iPadOS»: le notifiche push da iOS 16.4 per le web app aggiunte alla schermata Home.
4. Apple Developer, «What's included»: il programma sviluppatori a 99 USD per anno di iscrizione.
5. Guida di Play Console, registrazione dell'account sviluppatore: la quota di registrazione di 25 USD.
6. OWASP, «SQL Injection Prevention Cheat Sheet»: le query parametrizzate come prima difesa.
7. Regolamento (UE) 2016/679 (GDPR), articolo 32: sicurezza del trattamento, cifratura e ripristino dei dati.

Capitolo aggiornato a ottobre 2026. Le caratteristiche delle PWA dipendono dal browser e dalla versione del sistema operativo e possono cambiare: le informazioni su iPhone e Android vengono dalla documentazione ufficiale di Apple, Google e Mozilla indicata qui sopra.