La sicurezza che possiamo descrivere, niente di più.
Misure tecniche verificabili nel codice Cortex: autenticazione, isolamento dei dossier, depositi, webhook e limiti. Nessuna certificazione inventata.
Che cos’è questa pagina, e che cosa non è
Questa pagina descrive meccanismi presenti nel codice del servizio il 30 ottobre 2026. Aiuta un acquirente o una fiduciaria a capire il controllo, non a sostituire un audit.
Non è un certificato ISO o SOC, né un rapporto di test d’intrusione, né una garanzia di assenza d’incidente. I parametri del vostro conto restano nello spazio connesso.
Accesso al conto
L’accesso usa Passport e una sessione memorizzata in PostgreSQL. Il cookie di sessione è httpOnly; in produzione è anche marcato sicuro.
Le password sono registrate come hash (bcrypt, con migrazione progressiva verso scrypt).
Le mutazioni API autenticate (POST, PUT, PATCH, DELETE) sono protette dalle richieste intersito da un token CSRF. I percorsi pubblici, i webhook e le rotte d’autenticazione ne sono esentati.
Separazione dei dossier
I dati di mestiere sono legati a un identificatore di dossier (cible_id). Il contesto fiduciario risolve questo dossier per l’utente connesso prima delle letture.
Questa separazione è applicativa. PostgreSQL non applica qui un isolamento automatico di tipo RLS. Una dimenticanza di filtro in una nuova rotta resterebbe dunque un rischio reale — per questo lo diciamo.
Deposito dei giustificativi
Un file non è accettato sulla sola fede della sua estensione. Il servizio confronta il tipo dichiarato con i byte magici e rifiuta un contenuto incoerente.
La lettura OCR delle immagini passa da Google Cloud Vision, tramite il suo punto d’accesso di Zurigo.
Pagamenti e e-mail
Stripe riceve gli eventi di pagamento. Se il segreto di firma webhook è assente, la verifica fallisce invece di accettare l’evento.
Le e-mail transazionali passano da Brevo. La firma dei webhook e-mail è confrontata a tempo costante.
Dove gira il servizio
L’applicazione web, il worker, i file e la base di dati girano presso Infomaniak, a Ginevra.
Il trattamento dei giustificativi passa da quattro responsabili in Svizzera: Infomaniak, Google Cloud Vision, DeepL e Microsoft Azure. Il pagamento, l’e-mail e il seguito degli errori usano altri prestatori, che figurano nella politica di riservatezza; i loro paesi e clausole restano da confermare.
Conservazione dei file sorgente
I PDF e le immagini sorgente dei giustificativi, così come lo ZIP PDF d’export, sono eliminati dopo 48 h. Giornali, file Excel e dati estratti restano scaricabili.
Le registrazioni e i dati estratti non vengono eliminati con le fonti: restano disponibili finché il conto esiste.
Limiti onesti
Il limitatore di portata vive nella memoria del processo. Non è condiviso tra più macchine.
Le intestazioni di sicurezza (CSP, HTTPS) sono applicate dal server. Nessuna misura permette di garantire l’assenza totale d’incidente.
Autrice, data e fonti
Redazione Cortex · aggiornata il 30 ottobre 2026. Ogni affermazione di questa pagina rinvia a un file del deposito o a una conferma d’esercizio già scritta. Gli elementi impossibili da provare restano fuori da questa pagina.
- Autenticazione e sessioni: server/auth.ts
- CSRF: server/middleware/csrf.ts
- Contesto dossier: server/middleware/fiduciary-context.ts
- Depositi: server/middleware/upload.ts
- OCR: workflows/OCR/OCR.ts
- Stripe: server/integrations/stripe/stripe.ts
- Brevo: server/middleware/brevo-webhook-signature.ts
- Pulizia sorgenti: server/cron/data-cleanup.cron.ts