Sicurezza e limitazione dei tentativi
Protezione contro gli abusi
Registrazione, accesso, reimpostazione della password, sblocco delle pagine di stato e iscrizione via email sono limitati per indirizzo email o pagina e per indirizzo Internet Protocol (IP) del client. Dopo troppi tentativi, l’azione viene bloccata per 10 minuti, poi per 1 ora, poi per 1 giorno. Per accesso e sblocco contano solo i tentativi falliti. I contatori si azzerano dopo 24 ore senza tentativi.
Registrazione e iscrizione via email richiedono anche un captcha a prova di lavoro che gira nel tuo browser.
Registrazione, reimpostazione della password, inviti e annullamento dell’iscrizione rispondono allo stesso modo, che l’indirizzo esista o no.
Come sono protetti i dati
| Dati | Protezione |
|---|---|
| Password degli account e delle pagine di stato | Salvate come hash BCrypt. |
| Chiavi dell’interfaccia di programmazione (API) | Salvate come hash SHA-256 e mostrate una sola volta. |
| Token dei link segreti | 256 bit di casualità. |
| Messaggi di stato | Il Markdown viene ridotto a titoli, enfasi, elenchi, citazioni e codice. Link, immagini e HTML vengono rimossi. |
| Monitor | Le richieste verso indirizzi loopback, privati e interni vengono bloccate, anche dopo modifiche del Domain Name System (DNS). |
Nel browser
I moduli usano token Cross-Site Request Forgery (CSRF). Le pagine vengono servite con un’intestazione Content-Security-Policy, un’intestazione Strict-Transport-Security e una politica referrer rigorosa.
Isolamento tra i servizi
Ogni pagina del back office controlla che tu sia membro del servizio e che il tuo ruolo consenta l’azione. Le pagine di un altro servizio rispondono con 403 o 404.