Come funziona la sicurezza su Macaly
La sicurezza di qualsiasi applicazione web riguarda sia la piattaforma sottostante sia la persona che ci costruisce sopra. Macaly si occupa del livello infrastrutturale: hosting, crittografia, libreria di autenticazione, protezione edge, database isolati e aggiornamenti di sicurezza continui. Tu resti responsabile del livello applicativo: quali dati archivia il tuo progetto, chi può accedervi e come vengono informati i tuoi utenti finali. Questa divisione significa che non devi configurare da zero server, certificati o librerie di autenticazione. Significa anche che le decisioni sui tuoi dati e sui tuoi utenti restano a te, dove è giusto che siano.Quando il tuo progetto archivia dati personali dei tuoi utenti finali, Macaly agisce come responsabile del trattamento e tu resti il titolare del trattamento. Tutti i dettagli sono nel nostro DPA.
Cosa è integrato
Hosting e residenza dei dati
I progetti pubblicati sono ospitati nella regione UE di Vercel (Francoforte). I database girano su Convex EU West (Irlanda). Entrambi si trovano dietro la rete edge di Vercel, che serve i contenuti da server più vicini ai tuoi visitatori e mitiga il traffico di attacco prima che raggiunga il tuo progetto. Ogni progetto Macaly ottiene il proprio database isolato, quindi i dati di un progetto non vengono mai mescolati con quelli di un altro. Puoi anche scegliere la regione in cui girano i modelli AI che l’agente usa per creare i tuoi progetti. Se hai bisogno che i tuoi dati restino nell’UE, puoi selezionare modelli ospitati solo nell’UE. Per l’elenco dei modelli disponibili e dei paesi in cui sono ospitati, vedi Modelli AI.Crittografia
I dati sono cifrati in transito e a riposo:- HTTPS è imposto su ogni progetto pubblicato
- I dati a riposo sono cifrati presso i nostri provider di hosting e database
- Le credenziali sensibili usate internamente da Macaly vengono cifrate prima di essere archiviate
Autenticazione
L’autenticazione integrata di Macaly usa una libreria standard di settore che gestisce l’hashing delle password, le sessioni e i codici monouso. Sono disponibili due metodi:- Accesso con OTP per l’autenticazione senza password tramite codice via email
- Accesso con email e password con registrazione, verifica e reimpostazione
Un agente sicuro per impostazione predefinita
L’agente Macaly è guidato da pratiche integrate che valgono per ogni progetto. Autenticazione, modalità di accesso al database, gestione dei segreti e configurazione delle integrazioni seguono impostazioni predefinite consolidate invece di essere assemblate da zero ogni volta. L’agente lavora in un sandbox sicuro con veri strumenti di sviluppo, quindi può creare, eseguire e testare il tuo progetto in un ambiente isolato. Puoi anche chiedere all’agente in qualsiasi momento di spiegarti come è protetta una parte specifica del tuo progetto, oppure di modificare qualcosa in base alle tue esigenze. Vedi Creare app sicure per indicazioni pratiche.Trasparenza sull’AI
Macaly dice alle persone quando c’è di mezzo l’AI. Un avviso sopra il prompt spiega che stai lavorando con un agente AI, e i progetti pubblicati riportano nel loro head un tagai-generated leggibile dalle macchine, oltre a un badge Made with AI in Macaly per impostazione predefinita.
Questo copre la piattaforma. Le dichiarazioni sul tuo progetto, ad esempio su un chatbot che crei per i tuoi utenti finali, restano a te. Vedi Usare l’AI in modo responsabile per capire dove passa il confine.
Protezione edge e aggiornamenti
La rete edge di Vercel e le protezioni della piattaforma gestiscono automaticamente le forme di abuso più comuni, inclusi la mitigazione DDoS e un filtraggio di base dei bot. Le correzioni rilevanti per la sicurezza della nostra infrastruttura e delle dipendenze sottostanti vengono distribuite su tutti i progetti in modo continuo, quindi non devi seguire o applicare patch da solo.Scansione delle vulnerabilità e analisi di sicurezza
Macaly controlla i progetti Next.js e TanStack Start alla ricerca di vulnerabilità note del framework. Se viene trovato un problema critico, la pubblicazione resta bloccata finché non fai clic su Correggi ora, che invia la correzione direttamente all’agente. Puoi anche avviare in qualsiasi momento un controllo di sicurezza completo sul tuo progetto. La scheda Sicurezza nella tua chat legge il tuo codice, riporta in parole semplici cosa trova in otto aree, dai permessi di accesso ai pagamenti, e può applicare le correzioni al posto tuo. Il primo controllo in ogni chat è gratuito.Cosa spetta a te
Quando pubblichi un progetto su Macaly, l’applicazione è tua. Alcune cose restano naturalmente a te, perché dipendono dal tuo progetto e dai tuoi utenti.Dati e conformità
Sei tu a decidere quali dati raccoglie e archivia il tuo progetto. La conformità al GDPR, al CCPA e alle altre leggi applicabili ai tuoi utenti finali è qualcosa da pianificare come parte dello sviluppo. In pratica, di solito significa:- Far sapere ai tuoi utenti come vengono trattati i loro dati
- Aggiungere un’informativa sulla privacy se il tuo progetto raccoglie dati personali
- Includere un banner dei cookie se il tuo progetto si rivolge a visitatori dell’UE
- Essere in grado di gestire le richieste degli utenti di accesso, rettifica e cancellazione
I controlli di accesso della tua applicazione
L’agente può realizzare l’autenticazione, l’accesso basato sui ruoli e garantire che ogni utente veda solo i propri dati. Come tutto questo viene impostato per il tuo progetto, e chi vede cosa, fa parte di ciò che descrivi. La pagina successiva, Creare app sicure, spiega come farlo bene.Backup
Macaly offre diverse tutele per il tuo progetto e i tuoi dati:- Le versioni del progetto vengono salvate mentre l’agente lavora. Puoi ripristinare una versione precedente da qualsiasi messaggio nella chat.
- Il codice sorgente dei progetti basati su git viene conservato in modo durevole con un backup lato Macaly.
- Gli snapshot del database possono essere esportati come file ZIP dalla scheda Database ogni volta che vuoi una tua copia dei dati.
- L’integrazione con GitHub (dal piano Pro in su) esegue il backup del codice sorgente del tuo progetto in un repository privato
- La duplicazione delle chat crea una copia indipendente del tuo progetto come punto di sicurezza prima di modifiche più consistenti
Funzionalità AI nella tua app
Se il tuo progetto include funzionalità AI per gli utenti finali, come chatbot, generazione di contenuti o riassunti, la loro configurazione e i risultati che producono fanno parte del tuo progetto. I tuoi utenti finali devono sapere quando stanno interagendo con l’AI, e l’avviso che Macaly mostra nella propria app non si trasferisce a ciò che pubblichi. Usare l’AI in modo responsabile spiega cosa aggiungere e dove.Pagamenti
Macaly non è un processore di pagamenti e non archivia né trasmette i dati delle carte. Se il tuo progetto accetta pagamenti, usa un provider di pagamento in hosting che gestisca le carte sulla propria infrastruttura. Evita di archiviare numeri di carta, CVC o altri dati di pagamento grezzi nel database del tuo progetto.Quando Macaly è la scelta giusta
Macaly è pensato per siti di marketing, landing page, strumenti interni, dashboard, MVP e applicazioni web di piccole e medie dimensioni. Funziona bene per progetti in cui vuoi muoverti in fretta e migliorare in base a feedback reali. Per i progetti che coinvolgono dati fortemente regolamentati può servire un lavoro di conformità ulteriore rispetto a quello che Macaly gestisce per impostazione predefinita. Rientrano in questa categoria:- I dati sanitari coperti da HIPAA o da normative simili
- I dati grezzi delle carte di pagamento soggetti al PCI DSS
- Le app rivolte a bambini sotto i 13 anni (COPPA) o sotto i 18