Fiducia e sicurezza
Questo sito è piccolo di proposito. Quello che fa e come viene gestito è scritto qui, perché tu possa verificarlo invece di fidarti della mia parola.
Privacy
Non viene inviato nulla a nessuno finché non scegli tu. Google Analytics 4 si carica solo se accetti, in Consent Mode con ogni tipo di archiviazione negato per impostazione predefinita e con le funzioni di pubblicità e profilazione disattivate. Puoi cambiare idea in qualsiasi momento dal pulsante privacy nel piè di pagina.
Il sito non imposta cookie propri. La tua scelta (e la tua lingua) restano nel tuo browser, sul tuo dispositivo.
Protezione nel tuo browser
Ogni pagina viene servita con una Content Security Policy rigorosa. Vieta script inline ed eval, limita tutto a questo sito (più i server di analytics di Google, solo dopo il consenso), impedisce l’inserimento in altre pagine e trasforma le richieste non sicure in sicure. HTTPS è obbligatorio per un anno (HSTS), la Permissions Policy disattiva fotocamera, microfono, posizione e altri sensori e una opener policy isola la pagina dalle altre finestre.
Puoi vedere tutto negli strumenti per sviluppatori del tuo browser, nella scheda Rete.
Dominio ed e-mail
DNSSEC è attivo sul dominio. Gli indirizzi e-mail di questo dominio ricevono e inoltrano soltanto: SPF e DMARC sono impostati per rifiutare qualsiasi messaggio inviato a nome del dominio che non sia autorizzato.
Le segnalazioni di sicurezza vanno a [email protected]. Il file di contatto leggibile dalle macchine (RFC 9116) si trova in /.well-known/security.txt e viene rinnovato a ogni pubblicazione.
Come una modifica va in produzione
Ogni modifica passa da una suite di test automatici che copre accessibilità, contrasto dei colori, intestazioni di sicurezza, peso della pagina e pagine generate, più un controllo delle dipendenze che fallisce davanti a problemi di gravità alta e una scansione del codice alla ricerca di vulnerabilità. Un controllo fallisce se i file pubblicati differiscono da ciò che produce il codice sorgente.
Una modifica viene pubblicata prima su una copia di prova protetta da password. La pubblicazione in produzione è un passaggio manuale separato che richiede una conferma scritta e l’approvazione di un revisore, e la versione precedente resta disponibile come ripiego.
La velocità è un requisito
Una prima visita ha un budget di 200 KB e 12 richieste, verificato dai test: una modifica che lo supera non viene pubblicata. «Come è andata questa pagina», nel piè di pagina della home, mostra quanto è costata la tua visita, misurato dal tuo browser.
Monitoraggio
Ogni 30 minuti un controllo automatico verifica che il sito risponda, che le intestazioni di sicurezza siano presenti, che gli indirizzi vecchi e con www reindirizzino correttamente, che il certificato sia valido per almeno altre due settimane, che l’instradamento della posta funzioni e che il file di contatto per la sicurezza non sia scaduto. In caso di guasto parte un avviso.
Open source
L’intero sito, test e processo di pubblicazione inclusi, è pubblico.
Segnalare un problema
Hai trovato qualcosa che non va? Scrivi a [email protected]. Lo legge una persona.