Sicurezza HTTP e accessi
Autenticazione e privilegi
Le sessioni del portale e le chiavi API hanno funzioni distinte. Il server verifica appartenenza all’azienda, ruolo, wallet e policy. L’accesso ai contenuti segue proprietà e incarichi, non la sola visibilità di un menu.
L’iscrizione OTP è facoltativa; dopo l’attivazione resta richiesta anche con Google. Per assistenza su codici e recupero vedi Accesso e account.
Protezione HTTP
La protezione pubblica combina controlli testuali, reputazione IP, limiti per classe di traffico e limiti autenticati del gateway. In Sistema e sicurezza controlla feed di reputazione, blocchi manuali e parametri di rate limit.
Le classi login, API e portale hanno limiti separati. La concorrenza limita le richieste contemporanee; i token e gli eventi di uno stream non sono conteggiati come nuove richieste. Un HTTP 429 indica il tempo di attesa tramite Retry-After.
Gestire un falso positivo
- Raccogli orario, host, operazione e stato HTTP, usando valori sintetici per riprodurre il caso.
- Distingui un rifiuto applicativo da un blocco della protezione HTTP.
- Controlla i feed e le eventuali regole manuali.
- Applica una correzione mirata attraverso il catalogo e il renderer autorizzato.
- Verifica che il caso legittimo funzioni e gli attacchi di regressione restino bloccati.
Non disattivare tutti i controlli testuali per risolvere un singolo caso. Un’eccezione alle liste pubbliche non deve bypassare blocchi manuali, firme o rate limit.
Reputazione IP
Le fonti pubbliche previste includono Spamhaus DROP IPv4/IPv6 e IPsum livello 3. Gli aggiornamenti sono periodici e validati; un guasto conserva la copia valida entro il limite configurato. La salute delle fonti è visibile agli amministratori.
Solo il proxy fidato deve poter fornire il vero IP client. Un header pubblico X-Forwarded-For o X-Real-IP non deve permettere di aggirare reputazione o limiti.
Eccezioni sensibili
Il webhook Stripe esclude soltanto l’ispezione CRS del corpo sul percorso previsto e mantiene l’autenticazione HMAC applicativa. Le eccezioni OAuth devono restare limitate alla callback richiesta. Una modifica di queste aree richiede una verifica specifica del flusso.
Informazioni da raccogliere
Registra solo dati operativi necessari: orario, stato, route parametrizzata e identificatori di richiesta/traccia disponibili. Non registrare prompt, credenziali, cookie, codici OAuth, stato OAuth o URL completi delle callback. Telemetria e audit non sono archivi del contenuto delle conversazioni.