Che cosa c’è, e che cosa non c’è. Tutte e due le metà.

• Le password sono sottoposte ad hash con Argon2id e conservate come stringhe PHC. Non sono mai conservate, registrate o trasmesse in forma leggibile, e non esiste un percorso che ne recuperi una.
• Le sessioni sono token firmati con una durata limitata. Il control plane conia un token separato e di breve durata per ogni chiamata che inoltra al motore di un modello, così un motore non vede mai una sessione del browser.
• Accessi falliti ripetuti bloccano l’indirizzo per un periodo di attesa. Il contatore vive nel database della directory, quindi sopravvive a un riavvio.
• Gli inviti sono a uso singolo e un indirizzo viene contrassegnato come interno solo dopo essere stato provato con un accesso o con l’accettazione di un invito.
• Un agente è un utente con un ruolo. Gli agenti di IA si autenticano come utenti e hanno ruoli; il master token di emergenza è rifiutato sui percorsi degli agenti.

Il single sign-on (SAML o OIDC) e l’autenticazione a più fattori obbligatoria non sono disponibili oggi. Vedete le mancanze qui sotto.

• I ruoli. Reader, Contributor e superiori, verificati contro il motore invece che dati per scontati dall’interfaccia.
• I blocchi di periodo. Un mese chiuso rifiuta ogni scrittura al suo interno — digitata, incollata, importata o schedulata — comprese quelle della piattaforma stessa. Un rifiuto nomina la cella e il motivo.
• L’accesso dimensionale (selective access). A un utente si possono concedere o rifiutare singole fette di un modello — una regione, una società, un centro di costo. I permessi sono espliciti; nulla si eredita per caso.
• Imposto in lettura. Una cella che non potete vedere non vi viene offerta in scrittura, così un incolla in una fetta vietata è rifiutato prima di essere inviato invece che applicato a metà.
• Isolamento fra tenant. Ogni modello di un’organizzazione è un processo a sé con la propria cartella di dati, raggiungibile solo attraverso il control plane autenticato; il motore di un modello non è esposto alla rete.

• Ogni modifica a un modello è un evento, aggiunto in coda a un registro, con il suo autore e la sua ora. Lo stato si ricostruisce rieseguendo il registro; nulla viene modificato sul posto.
• Un riavvio riesegue fino a uno stato identico bit per bit. Le celle calcolate sono sempre ricalcolate, mai conservate, così un valore memorizzato non può mai allontanarsi dalla sua formula.
• Le scritture sono raggruppate in changeset che possono portare con sé la revisione su cui sono stati costruiti; uno scaduto va in conflitto per intero invece di atterrare a metà.
• Una chiusura, una riapertura e un annullamento sono registrati come atti, con chi li ha fatti e quando.
• Il nostro personale raggiunge i dati dei clienti attraverso gli stessi percorsi autenticati che usano i clienti, e anche lì resta registrato.

• Amazon Web Services, us-east-1 — calcolo, archiviazione e posta in uscita. AWS è responsabile della sicurezza fisica e ambientale al di sotto. L’elenco è su subresponsabili.
• TLS su ogni connessione, con certificati di Let’s Encrypt rinnovati automaticamente. L’HTTP viene reindirizzato; HSTS è attivo.
• Il container dell’applicazione gira come utente non root, e l’immagine è costruita in CI e non sull’host, così ciò che è in esecuzione è riconducibile a un commit.
• Backup notturno del volume dati su object storage nella stessa regione.
• Il rilascio è una pipeline, non una persona su una macchina. Una modifica arriva in produzione attraverso una build che prima esegue le suite di test, i controlli di tipo e i linter.
• I dati in transito sono cifrati da TLS. I dati a riposo stanno su archiviazione gestita da AWS.

• Nessun rapporto SOC 2, nessun certificato ISO 27001, nessun penetration test indipendente. Non abbiamo alcuna certificazione di sicurezza di terze parti, di alcun tipo.
• Nessun single sign-on (SAML o OIDC) e nessuna autenticazione a più fattori obbligatoria.
• Nessuna chiave di cifratura gestita dal cliente, e nessuna cifratura a livello di campo dentro un modello.
• Nessuna opzione di residenza dei dati. Una sola regione, us-east-1, per tutti.
• Nessuna alta disponibilità. Un solo host, ripristinato da backup. Vedete impegni di servizio.
• Finestre di fermo programmato. L’host del pilota è attivo dalle 07:00 alle 19:00, dal lunedì al sabato, fuso America/Winnipeg, ed è spento fuori da quegli orari.
• Nessun programma di bug bounty, e nessun documento formale di politica di divulgazione delle vulnerabilità — anche se le segnalazioni sono benvenute e ottengono risposta, vedete qui sotto.
• Nessuna reperibilità di sicurezza 24/7.