Isolamento per cliente
La piattaforma è multi-tenant con una rigorosa separazione logica: ogni lettura e ogni scrittura è circoscritta all’identificativo del Suo account, sia a livello di dati sia a livello applicativo. Le Sue informazioni non sono visibili né raggiungibili dall’account di nessun altro cliente, e non esistono interrogazioni globali rivolte agli utenti.
- Verifica continua, non una promessa. Un controllo automatizzato esamina periodicamente l’ambiente di produzione alla ricerca di qualsiasi configurazione che possa mescolare informazioni tra account e ne riporta l’esito ai parametri vitali della piattaforma. La separazione non si presume: si misura.
- Le superfici pubbliche (moduli, widget, webhook) sono ridotte al minimo e si autenticano tramite token o identificativo con ambito limitato; tutto il resto richiede una sessione autenticata.
- Le modifiche vengono preparate e testate in un ambiente di lavoro separato prima di essere pubblicate in produzione.
Identità e controllo degli accessi
- Password non recuperabili. Vengono conservate esclusivamente come hash crittografico unidirezionale con salt (bcrypt). Nessuno, nemmeno il team di OMB, può leggerle o ricostruirle.
- Ruoli con privilegio minimo. Titolare, amministratore e utente, con permessi per modulo: ogni persona vede solo ciò che serve alla sua funzione.
- Sessioni rafforzate. Cookie Secure, HttpOnly e SameSite; la funzione per restare connessi usa token suddivisi che ruotano a ogni utilizzo e vengono confrontati in tempo costante, così il furto di un vecchio cookie non apre l’account.
- Autenticazione a due fattori disponibile per gli account che la richiedono, e passkey in fase di introduzione come metodo preferito, perché resistenti al phishing per progettazione.
- Verifica rafforzata per modulo. I moduli che Lei contrassegna come sensibili possono richiedere una verifica aggiuntiva al momento dell’accesso, anche se la sessione è già avviata, secondo la prassi dell’online banking.
Crittografia
| Livello | Tecnologia | Dettaglio |
|---|---|---|
| In transito | TLS | Tutte le comunicazioni viaggiano cifrate: portale, API, widget e integrazioni. |
| Segreti e credenziali | AES-256-GCM | Password di posta, chiavi delle integrazioni e credenziali affidate dai clienti vengono conservate cifrate con autenticazione dell’integrità. La chiave master risiede fuori dal repository del codice e fuori dalla portata del server web, con permessi restrittivi e rotazione senza perdita di dati. |
| Casseforti del cliente | AES-256-GCM | Le credenziali di portali di terzi che un cliente affida alla piattaforma esistono soltanto in forma cifrata, senza lettura umana nella normale operatività, con cancellazione definitiva su richiesta. |
| Password degli utenti | bcrypt | Hash unidirezionale con salt. Non è possibile alcuna decifratura. |
| Documenti firmati | SHA-256 + RFC 3161 | Ogni contratto firmato è legato alla sua impronta crittografica con una marca temporale crittografica. |
Perimetro, backup e continuità
- Firewall a livello di infrastruttura e blocco, dal server web, di tutti i file sensibili (configurazione, log, backup, controllo di versione): non sono raggiungibili da internet.
- Archivio delle sessioni fuori dall’albero pubblico, con permessi restrittivi.
- Backup giornalieri, verificati e cifrati. Ogni backup del database viene verificato prima di essere conservato (un backup che non supera la verifica non viene conservato come valido) e cifrato con AES-256 con una chiave dedicata, distinta dalla chiave operativa e custodita fuori dal repository e dalla cartella dei backup.
- I backup non violano la Sua privacy. Sono usati esclusivamente per il ripristino, mai per la consultazione. Le informazioni nella Cassaforte cifrata arrivano nel backup già cifrate con la Sua chiave: non sono leggibili nemmeno all’interno del backup. La rotazione è di massimo 14 giorni, quindi una cancellazione di dati scompare anche dai backup entro quel termine.
- Monitoraggio continuo dei parametri vitali della piattaforma con rilevamento delle anomalie.
Tracciabilità e documenti probatori
- Registrazione delle operazioni rilevanti (creazioni, modifiche, invii, firme) con data, ora, indirizzo IP e utente.
- Quando personale autorizzato opera in modalità di supervisione, la piattaforma registra l’identità reale di chi agisce, non solo l’account su cui agisce.
- I documenti probatori (contratti e ricevute) vengono generati lato server, restano legati alla loro impronta SHA-256 e conservano la loro catena completa di eventi. Il file firmato è, in modo dimostrabile, il documento che è stato mostrato.