Sicurezza pubblica
La sicurezza che possiamo descrivere, niente di più.
Misure tecniche verificabili nel codice Cortex: autenticazione, isolamento dei dossier, depositi, webhook e limiti. Nessuna certificazione inventata.
Che cos’è questa pagina, e che cosa non è
Questa pagina descrive meccanismi presenti nel codice del servizio l’11 settembre 2026. Aiuta un acquirente o una fiduciaria a capire il controllo, non a sostituire un audit.
Non è un certificato ISO o SOC, né un rapporto di test d’intrusione, né una garanzia di assenza d’incidente. I parametri del vostro conto restano nello spazio connesso.
Accesso al conto
L’accesso usa Passport e una sessione memorizzata in PostgreSQL. Il cookie di sessione è httpOnly; in produzione è anche marcato sicuro.
Le password sono registrate come hash. Un secondo fattore TOTP può essere attivato; il segreto è cifrato con AES-256-GCM, con una chiave distinta da quella della sessione.
Le mutazioni API autenticate (POST, PUT, PATCH, DELETE) sono protette dalle richieste intersito da un token CSRF. I percorsi pubblici, i webhook e le rotte d’autenticazione ne sono esentati.
Separazione dei dossier
I dati di mestiere sono legati a un identificatore di dossier (cible_id). Il contesto fiduciario risolve questo dossier per l’utente connesso prima delle letture.
Questa separazione è applicativa. PostgreSQL non applica qui un isolamento automatico di tipo RLS. Una dimenticanza di filtro in una nuova rotta resterebbe dunque un rischio reale — per questo lo diciamo.
Deposito dei giustificativi
Un file non è accettato sulla sola fede della sua estensione. Il servizio confronta il tipo dichiarato con i byte magici e rifiuta un contenuto incoerente.
La lettura OCR delle immagini passa da Google Cloud Vision, endpoint europeo per default (eu-vision.googleapis.com). La configurazione effettiva resta da verificare, salvo prova operativa versionata. Questo passo non è un hosting svizzero dell’immagine.
Pagamenti e e-mail
Stripe riceve gli eventi di pagamento. Se il segreto di firma webhook è assente, la verifica fallisce invece di accettare l’evento.
Le e-mail transazionali passano da Brevo. La firma dei webhook e-mail è confrontata a tempo costante.
Dove gira il servizio
L’applicazione web e il worker girano su una macchina Infomaniak, in Svizzera. Questo descrive l’hosting dei processi Cortex, non tutti i trattamenti.
La base, l’OCR, certe proposte, il pagamento, l’e-mail e il seguito degli errori usano altri prestatori. I loro paesi e clausole restano da confermare; figurano nella politica di riservatezza.
Conservazione dei file sorgente
Il codice prevede, per default, di sopprimere i file sorgente dei documenti contabili dopo due giorni. Non è una durata imposta dal RGPD; è una scelta tecnica.
L’attuazione effettiva di questo termine resta da verificare prima di presentarlo come garantito. Le scritture e i dati estratti seguono una conservazione separata, finché il conto esiste.
Limiti onesti
Il limitatore di portata vive nella memoria del processo. Non è condiviso tra più macchine.
Le intestazioni di sicurezza (CSP, HTTPS) sono applicate dal server. Nessuna misura permette di garantire l’assenza totale d’incidente.
Autrice, data e fonti
Redazione Cortex · aggiornata l’11 settembre 2026. Ogni affermazione di questa pagina rinvia a un file del deposito o a una conferma d’esercizio già scritta. Gli elementi impossibili da provare restano fuori da questa pagina.
- Autenticazione e sessioni: server/auth.ts
- 2FA: server/lib/auth/totp.ts
- CSRF: server/middleware/csrf.ts
- Contesto dossier: server/middleware/fiduciary-context.ts
- Depositi: server/middleware/upload.ts
- OCR: workflows/OCR/OCR.ts
- Stripe: server/integrations/stripe/stripe.ts
- Brevo: server/middleware/brevo-webhook-signature.ts
- Pulizia sorgenti: common/jobs/gdpr-cleanup.ts