La sicurezza in Barliva
Prendiamo sul serio la sicurezza dei tuoi dati. Questa pagina riassume le misure tecniche e organizzative che adottiamo per proteggere i Servizi Barliva e come segnalare una vulnerabilità qualora ne individuassi una.
Crittografia in transito
Tutto il traffico viene servito esclusivamente tramite HTTPS con TLS moderno. Il traffico HTTP viene reindirizzato a HTTPS e inviamo header HSTS.
Crittografia a riposo
Le credenziali sono memorizzate solo come hash con salt. I database e l'archiviazione di oggetti che contengono dati degli utenti sono crittografati a riposo.
Infrastruttura rafforzata
I servizi vengono eseguiti su host Linux ad accesso controllato, con un firewall default-deny, patch di sicurezza automatiche e prevenzione delle intrusioni.
Privilegio minimo
I servizi interni (cache, archiviazione di oggetti, metriche) sono associati a interfacce private e non sono mai esposti pubblicamente. L'accesso amministrativo è basato su chiavi e con ambito limitato.
01Le nostre pratiche
- Sicurezza di rete. Un firewall consente solo le porte necessarie a servire l'app (HTTPS) e l'accesso amministrativo protetto. I datastore di backend, le cache e gli endpoint delle metriche restano in ascolto solo su loopback o reti private.
- Autenticazione. L'accesso remoto al server richiede chiavi SSH; l'autenticazione tramite password è disabilitata. Gli account applicativi utilizzano credenziali sottoposte ad hashing e supportano la scadenza delle sessioni.
- Patch. Gli aggiornamenti di sicurezza del sistema operativo e delle dipendenze vengono applicati tempestivamente, con gli aggiornamenti di sicurezza automatici abilitati.
- Monitoraggio e logging. Raccogliamo metriche di sistema e applicative e conserviamo log di audit per rilevare e indagare anomalie.
- Backup. I dati degli utenti vengono sottoposti a backup secondo una pianificazione regolare con una conservazione definita, a supporto del ripristino in caso di incidenti.
- Minimizzazione dei dati. Raccogliamo solo ciò che ci serve e le immagini dei codici a barre vengono elaborate sul dispositivo anziché caricate per impostazione predefinita. Consulta la nostra Informativa sulla privacy.
02Divulgazione responsabile
Accogliamo con favore le segnalazioni dei ricercatori di sicurezza. Se ritieni di aver individuato una vulnerabilità, scrivi a security@barliva.com indicando:
- Una descrizione del problema e del suo potenziale impatto;
- I passaggi per riprodurlo (con una proof-of-concept ove possibile);
- Qualsiasi URL, richiesta o screenshot pertinente.
Concedici un tempo ragionevole per indagare e porre rimedio prima di qualsiasi divulgazione pubblica ed evita di accedere o modificare i dati di altri utenti, di degradare i nostri servizi o di eseguire scansioni automatiche che potrebbero causare danni. Confermeremo la ricezione della tua segnalazione, ti terremo aggiornato e, ove desiderato, riconosceremo il merito ai ricercatori che effettuano una divulgazione responsabile.
03Contatti
Team sicurezza: security@barliva.com
Per domande sulla privacy, consulta la nostra Informativa sulla privacy.
Questa pagina descrive il nostro programma di sicurezza in termini generali e può evolversi insieme alla nostra infrastruttura. È fornita a scopo di trasparenza e non costituisce una garanzia contrattuale.