Sicurezza
Una piattaforma che insegna la sicurezza deve prima di tutto praticarla. Queste sono le misure attive in CyberFiuto.
Controllo degli accessi
- Account personali; password di almeno 12 caratteri, controllo delle password comuni, hash bcrypt.
- Verifica in due passaggi (TOTP) obbligatoria per referenti, rivenditori e amministratori; codici di recupero monouso conservati come hash.
- Limite ai tentativi di accesso falliti per utente e per indirizzo IP; messaggi d'errore che non rivelano se un account esiste.
- Sessioni con token casuale a 256 bit conservato solo come hash, cookie HttpOnly e SameSite; chiusura delle sessioni al cambio password.
- Link di invito e di reimpostazione monouso, con scadenza (7 giorni e 2 ore).
- Accesso aziendale con Microsoft 365 o Google Workspace (OpenID Connect con PKCE), limitato al tenant o dominio collegato dall'azienda; possibilità di disattivare le password per i dipendenti.
Separazione dei dati e minimo privilegio
- Architettura multi-azienda: ogni interrogazione è filtrata per azienda o rivenditore lato server.
- Ruoli distinti (dipendente, referente, rivenditore, fornitore) con permessi minimi; il fornitore non accede alle richieste interne delle aziende.
- La correzione dei test avviene solo lato server; le risposte corrette non vengono inviate al browser.
Riservatezza e integrità
- Cifratura in transito (HTTPS/TLS) e intestazioni di sicurezza (CSP, HSTS, X-Frame-Options, Referrer-Policy).
- Segreti della verifica in due passaggi cifrati con AES-256-GCM.
- Registro delle attività amministrative e delle email inviate; report di conformità con impronta SHA-256 registrata.
- Pagina pubblica di verifica degli attestati con dati minimi (nome abbreviato).
Diritti degli interessati e conservazione
- Esportazione completa dei dati di un utente in formato JSON (artt. 15 e 20 GDPR), anche in autonomia dal proprio account.
- Anonimizzazione degli utenti disattivati su richiesta e automatica allo scadere del periodo di conservazione impostato dall'azienda (predefinito 24 mesi).
- Cancellazione periodica di sessioni scadute, link scaduti e tentativi di accesso più vecchi di 30 giorni.
Disponibilità e gestione degli incidenti
- Database PostgreSQL con backup periodici secondo la procedura del fornitore dell'infrastruttura.
- Monitoraggio dello stato del servizio (endpoint di salute) e assistenza con tempi di risposta definiti per priorità.
- Procedura di notifica delle violazioni al titolare senza ingiustificato ritardo e canale dedicato alla segnalazione di vulnerabilità.
Segnalare una vulnerabilità
Se trovi una vulnerabilità scrivi a sicurezza@mess-it.it con una descrizione e i passi per riprodurla. Ti rispondiamo entro 3 giorni lavorativi e ti teniamo aggiornato fino alla correzione.
- Non accedere, modificare o cancellare dati di altri; usa solo account di prova.
- Niente test di negazione del servizio, ingegneria sociale verso clienti o dipendenti, spam.
- Dacci un tempo ragionevole per correggere prima di rendere pubblici i dettagli.
Chi segnala in buona fede rispettando queste regole non sarà oggetto di azioni legali da parte nostra.