Sicurezza e protezione dei dati

Architettura

andarama.com funziona su Cloudflare: un Worker serve l'API, lo Studio e i tour; il database è D1 (SQLite gestito); i media e i tasselli si salvano su R2 (archiviazione a oggetti); KV conserva dati tecnici di breve durata e i Durable Objects coordinano la modifica in tempo reale e le visite dal vivo. Gli account, l'accesso e gli addebiti li gestisce Clerk. L'analitica delle visite è nostra e senza cookie, e quella del sito la fa Plausible.

Dove sono i dati

• Database (D1) e media (R2): in data center di Cloudflare nell'Europa occidentale. È l'ubicazione scelta al momento della creazione; stiamo lavorando per vincolarla anche alla giurisdizione dell'Unione Europea.
• Esecuzione: il codice gira sulla rete di Cloudflare, nel data center più vicino a chi visita.
• KV: dati tecnici effimeri (sessioni di lettura, puntatori di pubblicazione) replicati su tutta la rete.
• Account e addebiti: in Clerk, negli Stati Uniti (email, nome, sessione e dati di fatturazione). I tour e i media non passano da Clerk.
• Analitica del sito: Plausible, nell'Unione Europea, senza cookie né indirizzi IP.

Se l'istituzione ha bisogno che tutto resti in casa, la stessa applicazione si installa sulla sua infrastruttura (vedi più sotto).

Cifratura

Tutto il traffico passa in HTTPS con TLS e HSTS. Cloudflare cifra a riposo il database D1 e gli oggetti di R2. Le password e i segreti del servizio non si salvano mai in chiaro, e i token API si salvano come impronta (hash).

Accesso e autenticazione

Su andarama.com l'accesso lo gestisce Clerk, con verifica in due passaggi disponibile. Dentro l'applicazione, le organizzazioni hanno ruoli (amministra, modifica, collabora, legge) e i permessi si verificano sul server a ogni rotta. In un'installazione in proprio ci sono inoltre account locali con verifica in due passaggi (TOTP) e SSO istituzionale via OIDC.

Protezione dell'applicazione

Content Security Policy (CSP) con nonce, protezione CSRF a doppio token, limiti alle richieste, Turnstile contro gli abusi nei moduli, sanificazione di SVG, Markdown e CSS, e un registro di audit delle azioni di amministrazione. L'integrazione continua esegue i test e l'audit delle dipendenze a ogni modifica.

Backup

D1 consente di ripristinare il database a un punto nel tempo (Time Travel) durante il periodo offerto da Cloudflare, e il pannello di amministrazione esporta una copia completa del database. I media di R2 non hanno versioni automatiche: per questo consigliamo di conservare gli originali delle fotografie e di esportare i tour importanti.

Codice verificabile

Il codice completo è pubblicato con licenza EUPL-1.2 su GitHub: chiunque può verificare come vengono trattati i dati. Le vulnerabilità si segnalano in modo privato secondo il file SECURITY.md del repository. Di più nella pagina open source.

Piano di uscita

Niente di ciò che si crea resta intrappolato. I tour si esportano in qualsiasi momento come ZIP statico, HTML unico o PWA, che funzionano senza Andarama, e come file .andarama. Il formato tour.json è documentato. E la stessa applicazione si può installare sull'infrastruttura dell'istituzione (Docker, il suo account Cloudflare o un eseguibile desktop), così il giorno in cui si smette di acquistare il servizio in hosting, il lavoro continua.

Ciò che non abbiamo (ancora)

Andarama non ha una propria certificazione dell'Esquema Nacional de Seguridad (ENS) né ISO 27001. Cloudflare e Clerk hanno le proprie certificazioni come fornitori. Se l'istituzione richiede l'ENS, l'installazione in proprio sulla sua infrastruttura ricade sotto il suo ENS. Su richiesta prepariamo l'accordo di trattamento dei dati (articolo 28 del GDPR) e una scheda tecnica con queste informazioni.