Sicurezza

Macaly può leggere l’intero progetto e dirti, in parole semplici, cosa potrebbe mettere a rischio i tuoi visitatori o i loro dati. La scheda Sicurezza nella tua chat è il punto da cui avvii un controllo e leggi i risultati. Il primo controllo in ogni chat è gratuito.

​

Come funziona il controllo di sicurezza in Macaly

Il controllo segue i percorsi lungo cui si muovono nel tuo progetto gli input dei visitatori, l’accesso e i dati privati, e cerca i punti in cui quei percorsi non sono protetti. Il controllo di sicurezza in Macaly:

• Controlla il codice, non il sito pubblicato: lavora sul progetto presente nella tua chat, quindi non ti servono un sito pubblicato né un database perché venga eseguito.
• Non legge le tue chiavi segrete: non apre mai i file delle variabili d’ambiente, le chiavi API o le credenziali. I problemi che trova indicano nomi di variabili e posizioni nei file, non i valori veri e propri.
• Viene eseguito in background: un controllo richiede fino a 20-30 minuti. Puoi chiudere la scheda e tornare sui risultati più tardi.

Per avviarne uno, apri la scheda Sicurezza e fai clic su Avvia audit di sicurezza.

​

Cosa controlla Macaly

Ogni controllo copre le stesse otto aree:

• Chi può accedere a cosa: se ogni persona raggiunge solo le pagine e i record che le spettano, anche quando qualcuno indovina una URL o modifica un ID.
• Accesso e account: quanto reggono l’accesso, le sessioni, i codici monouso e la reimpostazione delle password.
• Input e contenuti dannosi: cosa succede al testo, ai file e ai link che i visitatori inviano.
• Segreti e dati privati: dove vengono archiviate e registrate password, chiavi e informazioni personali, e se qualcuna di queste arriva al browser.
• API e database: se le regole del database, le route API e le funzioni server verificano chi le sta chiamando prima di rispondere.
• Configurazione dell’app e dell’hosting: header di sicurezza, caching, regole cross-origin e impostazioni simili.
• Pacchetti e processo di build: le librerie su cui si appoggia il tuo progetto.
• Pagamenti e servizi collegati: flussi di pagamento e integrazioni, incluso se ci si può fidare degli importi e delle chiamate webhook.

Ogni area torna come Controllato, Non utilizzato quando il tuo progetto non ha quella parte, oppure Non verificabile quando la risposta non è visibile nel tuo codice. Vale la pena leggere quest’ultimo stato, perché ti dice cosa il controllo non è riuscito a stabilire da solo.

​

Come leggere i risultati

I risultati sono ordinati per gravità, dai più seri ai meno seri. Apri un elemento qualsiasi per vedere cosa potrebbe accadere, quali file sono coinvolti e cosa consiglia Macaly. I risultati con l’etichetta Correzione automatica disponibile sono quelli di cui Macaly può occuparsi al posto tuo. I suggerimenti che rafforzano l’app senza indicare un rischio attuale restano fuori dall’elenco e si trovano sotto Protezione aggiuntiva nelle note complete dell’audit, insieme a un riepilogo dell’audit e a tutto ciò che il controllo non ha potuto confermare.

​

Lasciare che Macaly corregga i problemi

Quando almeno un risultato può essere corretto automaticamente, in cima alla scheda compare un pulsante di correzione che passa all’agente l’intero gruppo in una volta sola. Macaly esegue un backup del progetto, applica le correzioni, testa le modifiche e verifica che la falla sia chiusa e che la tua app si comporti ancora come prima. Questo richiede fino ad altri 10-20 minuti. I risultati che restano poi contrassegnati come Serve una tua decisione sono quelli in cui la correzione dipende da una scelta che solo tu puoi fare, ad esempio chi deve avere il ruolo di admin oppure una chiave da impostare fuori dal progetto. Di’ all’agente in chat cosa vuoi e lui prosegue da lì.

​

Avviare un nuovo controllo

Avvia una nuova verifica in cima alla scheda lancia un controllo nuovo sulla versione attuale del tuo progetto. Se tu o l’agente cambiate qualcosa dopo la fine di un controllo, la scheda mostra Il progetto è cambiato dopo questa analisi e il pulsante di correzione scompare, perché quelle correzioni si baserebbero su una versione che non esiste più. Avvia un nuovo controllo per ottenere un elenco aggiornato.

​

Quanto costa

Il primo controllo in ogni chat è gratuito, e lo sono anche le correzioni che ne seguono. Ogni controllo successivo nella stessa chat utilizza crediti, e lo stesso vale per le sue correzioni. La scheda ti dice quale dei due stai per ottenere prima che tu inizi.

​

Cosa non fa il controllo

• Analizza il tuo codice sorgente. Non attacca il sito pubblicato, non scansiona i tuoi server e non testa l’infrastruttura in esecuzione.
• Ogni controllo è una fotografia del tuo progetto in quel momento. Non c’è nulla di programmato, quindi avvia un nuovo controllo dopo modifiche importanti.
• Non può confermare tutto. Le impostazioni aggiunte dal tuo hosting, come gli header di sicurezza, spesso non sono visibili nel codice del progetto, quindi vengono riportate sotto Cosa non è stato possibile verificare invece di essere conteggiate tra i problemi.
• Un risultato pulito significa che non è stato trovato nulla di preoccupante nelle aree che Macaly ha potuto controllare. Nessuna analisi automatica può garantire che un’app sia completamente sicura.

Per quello di cui Macaly si occupa a livello di piattaforma, vedi Panoramica sulla sicurezza. Per lavorare con l’agente sulla sicurezza mentre costruisci, vedi Creare app sicure.