Sicurezza

Architettura

UptimeGlobe gira su una piattaforma serverless completamente gestita, fornita da un provider di infrastruttura di primo livello. Non abbiamo server di lunga durata, né accessi SSH da ruotare, né sistemi operativi da aggiornare: un’intera classe di vulnerabilità semplicemente non fa parte della nostra superficie di attacco. Tutto il traffico, sia quello verso gli utenti sia quello interno, viaggia su TLS.

Il tuo account

• Le password sono sottoposte a hashing con PBKDF2-SHA256 (100.000 iterazioni, salt per utente). Non memorizziamo né registriamo mai una password in chiaro, e le risposte di accesso sono costruite in modo che l’esistenza di un account non possa essere dedotta dai tempi di risposta.
• L’autenticazione a due fattori (TOTP) è disponibile per ogni account, piano Free compreso.
• Le sessioni usano un token di breve durata di 15 minuti più un token di aggiornamento monouso a rotazione. Il riutilizzo di un token di aggiornamento già ruotato, segno tipico di una sessione rubata, revoca tutte le sessioni dell’account. Lo stesso avviene con il cambio e il ripristino della password.
• Protezione dai bot: registrazione e accesso vengono filtrati contro gli abusi automatizzati senza alcun CAPTCHA da risolvere.

Le tue credenziali e i tuoi dati

• Le credenziali per le notifiche (token Slack, URL dei webhook, chiavi dei provider SMS) sono cifrate a riposo con AES-256-GCM tramite una chiave conservata al di fuori del database. L’API le restituisce oscurate, e i messaggi di errore vengono ripuliti in modo che un’integrazione in errore non possa far trapelare il proprio segreto.
• L’isolamento tra organizzazioni è applicato nello stesso livello di accesso ai dati: ogni query sui dati di proprietà di un’organizzazione è limitata automaticamente alla tua, e i nostri linter rifiutano il codice che aggira quel punto di accesso. Non è lasciato alla memoria di ogni singolo endpoint.
• Le chiavi API hanno ambiti per risorsa e per azione (lettura/scrittura), vengono mostrate una sola volta alla creazione, sono memorizzate come hash e sono revocabili in qualsiasi momento.
• Dati di pagamento: i dati delle carte non passano mai dai nostri sistemi. Quando la fatturazione a pagamento è attiva, il checkout e la conservazione delle carte sono gestiti da un fornitore di pagamenti dedicato.

Diritti sui dati

Puoi esportare i tuoi dati e puoi eliminare il tuo account: l’eliminazione è una vera cancellazione definitiva dei dati della tua organizzazione, non un semplice contrassegno. I dettagli sono nell’informativa sulla privacy.

Stato di conformità

UptimeGlobe non ha ancora una certificazione SOC 2 o ISO 27001: siamo un prodotto in fase iniziale, gestito dal suo fondatore, e non faremo finta del contrario. Questa pagina descrive i controlli reali in vigore oggi e viene aggiornata man mano che il nostro assetto evolve.

Segnalare una vulnerabilità

Hai trovato qualcosa? Usa il modulo di contatto: scegli l’argomento Altro e inizia il messaggio con «SECURITY». Includi i passaggi per riprodurre il problema e l’impatto che ritieni abbia. Ti risponderemo entro 2 giorni lavorativi, ti terremo aggiornato mentre lo risolviamo e, se lo desideri, ti citeremo nei ringraziamenti. Durante i test non accedere ai dati di altri utenti: una proof of concept sul tuo account è sempre sufficiente.