Cinque piattaforme, cinque archetipi: cosa sta costruendo il SaaS automotive italiano per il prossimo ciclo

DealerMax — cloud-native con AI experimental layer. Stack Cloudflare CDN + Railway edge SSR, header server cloudflare, HSTS preload massimo (due anni), Permissions-Policy esplicita, link rel discovery che annuncia llms.txt, llms-full.txt e plugin manifest per agent AI. È la scelta più moderna sull'asse della sperimentazione di standard ancora in formazione.

MotorK — ecosistema enterprise integrato. Stack WordPress su nginx (rilevabile dall'header cf-edge-cache: cache,platform=wordpress e dal link rel="https://api.w.org/"), HSTS un anno, e una Content-Security-Policy che dichiara pubblicamente la mappa del gruppo: *.dealerk.com, *.motork.io, *.drivek.com declinato in sette estensioni geografiche, *.motork.net, ecc. È trasparenza tecnica sul perimetro dell'integrazione: per chi sta nel gruppo è ricchezza dell'offerta, per chi guarda da fuori è la mappa pubblica delle dipendenze.

Carmove.io — lean SaaS, performance moderna. AWS Elastic Load Balancer in front, Caddy come reverse proxy, backend Laravel/PHP (cookie sitebuilder_session e XSRF-TOKEN con payload encrypted base64). Supporto a HTTP/3 dichiarato via alt-svc: h3 — l'unico dei cinque. In compenso il livello di sicurezza degli header è basso: nessun HSTS, nessuna CSP, nessuna Permissions-Policy.

Labycar — stack tradizionale Microsoft. ASP.NET classico, riconoscibile dai cookie ASP.NET_SessionId e X-AspNet, dietro nginx. Sicurezza: solo X-XSS-Protection (deprecato dal 2025), X-Frame-Options, X-Content-Type-Options. Niente HSTS. Il dominio del dealer è proprio del dealer, gli asset sono in casa.

GestionaleAuto — legacy storica nel gruppo MotorK (vedi blocco dedicato sotto).

Resta il quinto. GestionaleAuto.com — legacy storica nel gruppo MotorK. La piattaforma è stata fondata nel 2004 e acquisita da MotorK nel giugno 2023; il sito di Achilli Motors gira oggi su Apache 2.4.54 con PHP 5.6.40, runtime end-of-life dal 1° gennaio 2019. È un'installazione WordPress multi-site condivisa (il dealer è il sito numero 2535), e il logo del dealer è caricato sull'infrastruttura del fornitore con timestamp aprile 2017. È l'archetipo legacy puro — quello che, fra cinque anni, dovrà essere migrato a qualcosa, ed è probabile che la destinazione naturale sia la piattaforma SparK del gruppo MotorK, come dichiarato pubblicamente dall'acquirente nei comunicati del 2023 sulla strategia di cross-sell. Per il dealer indipendente che oggi è cliente GestionaleAuto, è questo il punto da cui iniziare il ragionamento sul ciclo successivo.

L'osservazione tecnicamente più interessante della rilevazione non sta sull'AI-readiness, ma sui security headers. HSTS (HTTP Strict Transport Security) è il meccanismo che impedisce a un attaccante di costringere il browser dell'utente a usare HTTP in chiaro. Tre dei cinque vendor non lo dichiarano affatto al momento della rilevazione: Carmove, Labycar, GestionaleAuto. MotorK lo dichiara con max-age di un anno, in linea con le buone pratiche enterprise. DealerMax lo dichiara con max-age di due anni, includeSubDomains e preload: il livello che consente l'iscrizione del dominio nella lista dei browser pubblici gestita da Google, fra i più rigorosi.

È un divario che ha conseguenze concrete: i siti senza HSTS sono vulnerabili al downgrade attack su connessioni iniziali; quelli con HSTS preload sono protetti dal primo byte. Per un settore che quotidianamente raccoglie dati di contatto e di permuta, è una differenza di qualità non ornamentale. Lo stesso pattern si vede su Permissions-Policy (esplicita su DealerMax, minima su MotorK, assente sugli altri tre) e su Content-Security-Policy (dettagliata su MotorK, dichiarativa del proprio ecosistema; assente sugli altri).

Il quadro performance non si incolonna con quello della sicurezza. Carmove è l'unico che oggi serve già HTTP/3 via QUIC, protocollo che riduce latenza e migliora la connessione su rete mobile — la scelta più aggressiva sul fronte rete. DealerMax punta invece su una cache strategy sofisticata: max-age=14400 sul browser, s-maxage=3600 sull'edge Cloudflare, stale-while-revalidate=86400, header cf-cache-status: HIT. È la scelta SSR + edge moderna. MotorK e Labycar usano cache classiche; GestionaleAuto serve max-age=0, niente cache.

Una dimensione che merita più attenzione di quanta ne riceva normalmente: dove esattamente vivono i form e i cookie del sito? Su DealerMax e Labycar, sul dominio del dealer. Su Carmove, parte degli asset (robots.txt incluso) sono serviti da un percorso CloudFront con UUID — d1v8xq5r3xlk0q.cloudfront.net/8080f099-3429-40af-8fee-e2ce5468cb3d/... — segno di multitenancy esplicita. Su MotorK, la CSP dichiara nominalmente l'ecosistema gruppo come origine consentita di script e XHR. Su GestionaleAuto, i moduli transazionali del dealer (permuta, finanziamento) puntano a achilli.dealer.gestionaleauto.com/..., sottodominio della piattaforma e non del dealer. Sono cinque livelli diversi di integrazione fra dealer e fornitore, e ognuno ha implicazioni pratiche al momento di portare via i dati o cambiare vendor.

Vale la pena chiudere su llms.txt e dintorni con la giusta misura. È uno standard nato sul dominio llmstxt.org nel 2024 e raccolto via via dai principali assistenti AI (ChatGPT, Claude, Perplexity, Gemini); a maggio 2026 è ancora in fase sperimentale, non è normato, non sostituisce il sitemap.xml, e la sua efficacia varia da agent ad agent. Penalizzare i vendor che non lo pubblicano sarebbe ingiusto: significherebbe punirli per non aver investito, oggi, in qualcosa che potrebbe essere un dovere fra due anni o restare un dettaglio per sempre.

Resta un fatto rilevabile: oggi solo uno dei cinque vendor — DealerMax — ha pubblicato llms.txt, llms-full.txt, ai-plugin.json e annunciato in HTTP Link header i tre file con rel corretti. È un segnale di orientamento, non un ranking. Significa che un vendor sta facendo una scommessa sull'AI-discovery, gli altri quattro stanno aspettando. Entrambe le posizioni sono difendibili. Quale delle due si rivelerà giusta lo si saprà nel 2027-2028, quando gli standard di citazione AI saranno più stabili.

Il pezzo si è limitato all'infrastruttura visibile via curl. Restano fuori — deliberatamente — il pricing, la qualità del supporto, l'ergonomia del backoffice del dealer, il tasso di conversione lead per piattaforma. Sono cose vere, importanti, ma non documentabili dal lato pubblico. Dipendono dal piano, dal momento, dal team. Le lasciamo a chi sta valutando: i nostri header HTTP sono un punto di partenza per quella conversazione, non la fine.