Sicurezza
Misure verificate
Account app
Le password degli account dell'app TooBloom sono sottoposte a hashing con l'algoritmo bcrypt (12 round) e non sono mai conservate né leggibili in chiaro. Il sito marketing non gestisce account utente pubblici; l'unica area con credenziali è quella showcase interna, protetta da un cookie di sessione firmato (HMAC), httpOnly e non leggibile da JavaScript.
Sessioni e token
I token di autenticazione dell'app hanno una validità di 8 ore. Le sessioni cookie usano di default una durata di 120 minuti. Il cookie dell'area showcase del sito marketing dura una sessione di navigazione oppure 7 giorni se si seleziona "ricordami".
Integrazioni
L'autorizzazione ai servizi Google (GA4, Search Console) avviene tramite il flusso OAuth ufficiale del provider e resta distinta dall'account applicativo TooBloom. Puoi revocarla in qualsiasi momento dalle impostazioni del tuo account Google.
Trasporto e form
Il sito marketing forza HTTPS con HSTS (durata di un anno, incluse le sottodomini). Le richieste POST dei form contatti e supporto vengono accettate solo se provengono dalla stessa origine (protezione CSRF) e sono limitate a 5 invii ogni 10 minuti per indirizzo IP, oltre a un campo honeypot anti-bot. L'API applica limiti di frequenza (throttling) su gran parte delle proprie rotte.
Segreti
Le credenziali (accesso email, database, servizi terzi) sono gestite come variabili d'ambiente, mai incluse nel repository del codice. La configurazione email del sito marketing è sincronizzata ad ogni deploy tramite GitHub Actions Secrets cifrati.
Backup
La casella email usata dai form contatti e supporto è ospitata su infrastruttura Artera, che esegue backup a rotazione: 3 copie giornaliere, 2 settimanali, 4 mensili, per finalità di sicurezza e continuità operativa. Il backup di altri componenti (es. database applicativi) non è verificato da questa pagina.