Sicurezza
Ridurre la superficie esposta senza ostacolare il riuso dei dati
L’Atlante separa la consultazione pubblica dalle funzioni amministrative e applica controlli specifici alle API e ai processi automatici di acquisizione.
Baseline di progetto
Il programma di hardening utilizza OWASP ASVS 5.0 come riferimento per la verifica delle applicazioni Web e OWASP API Security Top 10 per le interfacce dati. Questi riferimenti orientano il progetto e non costituiscono, da soli, una certificazione.
Controlli applicativi
Le API pubbliche sono in sola lettura, accettano esclusivamente metodi previsti, applicano limiti alle risposte e rate limiting, validano i parametri e non espongono file di configurazione, sessioni o credenziali.
Acquisizione delle fonti
Le fonti automatiche sono registrate preventivamente. Il trasporto remoto ammette esclusivamente HTTPS e host autorizzati, rifiuta credenziali e porte non previste, verifica che il DNS risolva verso indirizzi pubblici e vincola la connessione all’indirizzo verificato. I redirect non sono seguiti automaticamente: ogni destinazione viene nuovamente validata. Le risposte hanno un limite dimensionale e le variazioni di schema non sostituiscono automaticamente l’ultima versione validata.
Integrità e freschezza
Per i flussi acquisiti vengono mantenuti hash SHA-256 e metadati di provenienza. La data in cui una fonte viene controllata è distinta dalla data di acquisizione del file effettivamente pubblicato: un controllo senza variazioni, o un controllo fallito, non rende artificialmente più recente il dataset.
Esecuzione dei processi automatici
La consultazione pubblica non avvia sincronizzazioni, aggiornamenti o processi remoti. I cicli di acquisizione sono separati dal traffico degli utenti e possono essere eseguiti soltanto dal runner CLI o da un endpoint di pianificazione autenticato. Il percorso cron legacy non è esposto via Web.
Superficie tecnica non pubblica
Backup storici, descrittori di patch, log, stato interno dello scheduler, script CLI, configurazioni e cache applicative non fanno parte dell’interfaccia pubblica. Le regole del Web server ne impediscono l’accesso diretto; le informazioni destinate al riuso vengono esposte soltanto attraverso pagine, API e file pubblici dichiarati.
Segnalazione responsabile
Eventuali vulnerabilità possono essere comunicate tramite la Centrale contatti CNSBII selezionando il progetto Atlante. Non pubblicare credenziali, dati personali o istruzioni di sfruttamento in canali pubblici.