Sicurezza

Ogni account inizia con un indirizzo e-mail verificato: la registrazione invia un link di attivazione e nulla funziona prima che venga cliccato. Le password non sono mai conservate in forma leggibile, solo come hash unidirezionali con salt. L'accesso con Google è facoltativo e si collega allo stesso account tramite l'indirizzo e-mail.

L'autenticazione a due fattori esiste in tre forme indipendenti: un'app di autenticazione, una chiave di sicurezza hardware e una passkey. Possono essere attivate insieme, e perderne una non ti esclude dalle altre. L'accesso amministrativo da parte nostra richiede sempre un secondo fattore.

Impostazioni > Sessioni elenca ogni dispositivo connesso con l'ultima attività; qualsiasi sessione può essere revocata da qualsiasi altro dispositivo. Accesso, reimpostazione della password e registrazione hanno limiti per indirizzo e sono protetti dagli abusi automatizzati.

L'applicazione e il suo database girano nell'Unione Europea (Varsavia, Polonia); le e-mail transazionali e di avviso partono da un data center dell'UE; il traffico termina su Cloudflare solo in TLS e il dominio .app è nella lista di precaricamento HSTS, quindi i browser non tentano mai l'HTTP in chiaro.

I segreti dei canali di notifica (URL dei webhook, token dei bot, chiavi di routing) sono cifrati a riposo e non vengono mai restituiti per intero dall'API: sono ridotti e visibili solo ai proprietari dell'organizzazione. I dati di monitoraggio appartengono a una sola organizzazione; ogni rotta dell'API è classificata e il confine tra organizzazioni è coperto da test automatici.

Puoi esportare tutto ciò che il servizio conserva sulla tua organizzazione come ZIP da Impostazioni > Account, lasciare un'organizzazione o eliminare il tuo account da solo. La cronologia di audit sopravvive a un'eliminazione in forma anonimizzata, come il GDPR consente ai fini della responsabilità.

Ogni risposta porta una politica di sicurezza dei contenuti e le consuete protezioni del browser contro l'inserimento in frame, le fughe tra origini e l'esposizione del referrer. Le richieste che il servizio effettua per tuo conto (webhook, i controlli stessi) passano da una protezione che rifiuta indirizzi privati e interni. Ogni endpoint pubblico ha un limite per indirizzo; l'input ostile viene respinto prima di raggiungere l'applicazione.

Un programma di test di sicurezza viene eseguito su richiesta: ogni rotta dell'API è in una matrice e viene percorsa in modo anonimo, come membro, come proprietario e come personale; payload ostili colpiscono ogni rotta di scrittura; la suite è mappata sull'OWASP Top 10 e sull'OWASP API Top 10 ed è completata da uno scanner automatico e da uno smoke test nel browser. I risultati ricevono un numero, una gravità e una decisione, mai una correzione silenziosa.

Dipendenze e ambiente di esecuzione sono mantenuti aggiornati con una routine regolare di patch, e ogni round è annotato nel registro dei risultati.

I controlli partono dal nostro server in Polonia e sono confermati da regioni di monitoraggio indipendenti in Europa, Nord America, Asia e Oceania. Ogni regione esegue un piccolo agente le cui release sono firmate crittograficamente, quindi una regione rifiuta un aggiornamento non firmato; ogni regione si autentica presso l'hub con una propria credenziale legata al suo indirizzo.

Una regione conosce solo l'URL che le viene chiesto di controllare e riporta il risultato; non detiene dati di account, credenziali né segreti di notifica.

Un unico operatore gestisce il servizio, il che significa percorsi brevi: le modifiche in produzione escono come commit revisionati e testati, i segreti vivono fuori dal codice e i log vengono ruotati e conservati solo per breve tempo.

Pubblichiamo il nostro stato su /status e spieghiamo ogni cifra di disponibilità nella pagina della metodologia: ciò che promettiamo di misurare per te, lo misuriamo anche per noi.

Se ritieni di aver trovato un problema di sicurezza in Web Watch Tower, diccelo prima di dirlo a chiunque altro. Scrivi all'indirizzo nel nostro security.txt o usa il modulo di contatto, indicando cosa hai trovato, dove e come riprodurlo; una proof of concept aiuta, un exploit funzionante non è necessario.

Leggiamo ogni segnalazione, confermiamo la ricezione, ti teniamo informato mentre correggiamo il problema e, se lo desideri, ti diamo credito una volta risolto. Chiediamo un tempo ragionevole per la correzione prima di qualsiasi pubblicazione. Non esiste un programma di ricompense a pagamento.

Regole per la ricerca in buona fede: niente denial of service o test di volume, nessun accesso a dati non tuoi oltre il minimo necessario a dimostrare il problema, nessuna ingegneria sociale verso i nostri utenti o il personale e nessuna modifica ai monitor altrui. La ricerca che rispetta queste regole non sarà oggetto di azioni legali.