Sicurezza & privacy in Vitrily.

Vitrily è pubblicato da AGENSIO AI, il cui stack ha superato un audit di sicurezza CASA Tier 2 ad aprile 2026, condotto da TAC Security, con punteggio 9,1/10. CASA (Cloud Application Security Assessment) è il framework richiesto da Google per le applicazioni che trattano dati sensibili degli utenti, e il livello Tier 2 si applica alle piattaforme SaaS ormai consolidate.

L'audit ha coperto il ciclo di sviluppo sicuro, la copertura OWASP Top 10, test di intrusione, code review, analisi delle dipendenze, gestione degli incidenti e classificazione dei dati. Ogni deploy di Vitrily eredita la stessa postura: stessa Content Security Policy, stessa catena OAuth, stesso monitoraggio Sentry, stesso processo di revisione prima del rilascio in produzione.

• Audit TAC Security · aprile 2026, punteggio 9,1/10, framework CASA Tier 2.
• Copertura OWASP Top 10 · SQLi, XSS, CSRF, SSRF, IDOR, SSPP tutti revisionati e mitigati.
• Analisi continua delle dipendenze · npm audit + avvisi di sicurezza Vercel a ogni deploy.

Ogni byte di dati clienti (account, siti, prenotazioni, media, analytics) vive su Supabase Postgres a Francoforte, in Germania. L'applicazione Vitrily gira sull'edge europeo di Vercel, e le email vengono spedite tramite la regione UE di Resend. Nessun fallback verso regioni USA, nessuna cache CDN di dati personali fuori UE, nessun tool di analytics di terze parti che spedisce dati di comportamento oltre l'Atlantico.

Vitrily termina TLS 1.3 su ogni connessione, con HSTS attivo ovunque. Le password sono hashate con Argon2id (memory-hard, resistente al brute-force via GPU). I cookie di sessione sono firmati HMAC con un segreto server a rotazione. Segreti di database, token OAuth e chiavi Stripe sono conservati come variabili d'ambiente cifrate su Vercel, mai nel codice, e ruotati su base pianificata.

• TLS 1.3 · su ogni richiesta, HSTS 1 anno, idoneo al preload.
• Hash Argon2id sulle password · memory-hard, resistente al brute-force via GPU.
• Cookie di sessione firmati HMAC · HttpOnly, Secure, SameSite=Lax per impostazione.
• Rotazione dei segreti · variabili d'ambiente cifrate Vercel, ruotate in caso di sospetto.

Ogni strato è rafforzato, così un singolo errore non diventa mai una breccia. Questi controlli arrivano con ogni account Vitrily, senza alcuna configurazione.

• Content Security Policy stretta · niente script inline sulle pagine utente, solo CDN in whitelist.
• Protezione CSRF · ogni richiesta che modifica lo stato è firmata con un token di sessione.
• Rate limiting distribuito · login, registrazione ed endpoint API limitati per IP e per utente.
• Hashing degli IP per gli analytics · nessun IP grezzo, solo hash troncati a senso unico, nessun cookie posato.
• Monitoraggio Sentry · ogni incidente tracciato, allertato e revisionato entro 24 h.
• Upload sottoposti a scan · ogni immagine o media passa un controllo di firma prima di finire sul tuo sito.