Sicurezza e dati
Dove stanno i dati, come viaggiano, chi può raggiungerli e cosa viene registrato.
Di chi sono i dati nel sistema che costruite per noi?
Tuoi. Li trattiamo per far funzionare il servizio commissionato e per nient'altro. Non finiscono mescolati con quelli di un altro cliente, non vengono venduti e non servono a mostrare pubblicità ai tuoi utenti. Se il rapporto finisce, i dati te li porti via.
Come sono protetti i dati mentre viaggiano?
Le connessioni usano HTTP/3 e il dominio è nella lista HSTS precaricata dei browser: il browser rifiuta di parlarci in chiaro già alla primissima visita, prima che un redirect possa essere intercettato. Lo scambio di chiavi è post-quantistico, X25519 combinato con ML-KEM-768, scelto perché il traffico catturato oggi resista anche quando un computer quantistico potrà attaccarlo.
Come vengono conservate password, chiavi e credenziali API?
Mai nel codice sorgente, e a imporlo è la build, non la buona volontà: il codice con un segreto scritto dentro viene rifiutato prima di poter essere integrato. I segreti stanno cifrati in un archivio di impostazioni e vengono decifrati a runtime solo dove servono davvero, così ruotare una chiave è una modifica in un punto solo invece di una caccia in tutto il codice.
Cosa viene registrato e si riesce a sapere chi ha cambiato qualcosa?
Sì. Eventi applicativi, errori e azioni amministrative finiscono nel database e non in file di testo sparsi sui server, quindi si possono davvero cercare. Le modifiche amministrative registrano chi ha agito, cosa è cambiato e quando. A «chi ha cambiato questo prezzo il mese scorso» c'è una risposta, non un'ipotesi.
Come gestite cookie e consenso?
I cookie non essenziali vengono impostati solo dopo il consenso del visitatore, la scelta viene registrata e ogni sito che realizziamo ha una pagina dove cambiarla o revocarla in seguito. Rifiutare è un clic, non una caccia dentro un menu di impostazioni — e chi rifiuta ottiene comunque un sito funzionante.