Politica di controllo degli accessi

Traduzione di cortesia. Fa fede la versione in inglese.

Una regola attraversa questa politica: LFW non chiede né conserva mai le password di un cliente. Usa un accesso delegato, a proprio nome, limitato a ciò che il lavoro richiede e revocabile dal cliente in qualsiasi momento.

Versione 1.0, 6 ottobre 2026. Fa parte delle pratiche pubblicate nella pagina Fiducia. La politica di sicurezza delle informazioni riguarda i sistemi in cui esistono questi account.

1. Account a nome del cliente

L’hosting, il dominio, il repository del codice e gli account di amministrazione del sito di un cliente sono intestati al cliente dal primo giorno. LFW è un utente degli account del cliente, mai il loro proprietario.

Il cliente vede esattamente a che cosa può accedere LFW, e può revocarlo senza chiedere nulla. Alla fine del contratto, LFW restituisce credenziali, accesso agli account e accesso al repository senza costi.

2. Come LFW ottiene l’accesso a un sistema del cliente

Per ogni sistema necessario al lavoro, LFW chiede al cliente di concedere un account nominativo all’indirizzo di LFW tramite la funzione di delega del fornitore stesso: un membro sull’account di hosting, un utente aziendale sul pannello dell’hosting, un membro con ruolo limitato sull’account Cloudflare, un utente amministratore in WordPress.

LFW accetta ogni invito e attiva l’autenticazione a più fattori su quell’account quando la piattaforma la offre. Quando un fornitore non offre la delega, LFW chiede una credenziale dedicata creata per lei, mai la credenziale personale del proprietario.

Le poche credenziali che LFW deve detenere sono conservate in un gestore di password, in una cassaforte riservata a quel solo cliente. Un cliente trasmette una credenziale di questo tipo con un link sicuro monouso, non via email.

LFW chiede solo ciò di cui l’incarico ha bisogno. L’accesso al registrar del dominio di solito non serve: la configurazione preferita è un DNS delegato a una zona Cloudflare, che lascia intatto il registrar.

3. Accesso ai sistemi di LFW

Il Portale clienti non ha password. Un cliente accede con un link inviato via email che funziona una sola volta e scade dopo 15 minuti, con una passkey, oppure tramite il fornitore di identità del cliente con OpenID Connect.

Le richieste di link di accesso sono limitate in frequenza per indirizzo e per email, e la risposta è la stessa che l’indirizzo abbia un account o no, quindi il modulo non permette di compilare l’elenco dei clienti. Una sessione dura 14 giorni in un cookie che il browser mantiene limitato all’host, sicuro e fuori dalla portata degli script.

Il personale di LFW accede al sito del personale nello stesso modo, su un’origine separata. Nei sistemi di LFW non esiste alcuna password da rubare o riutilizzare.

4. Ruoli nel Portale clienti

L’accesso al portale viene concesso deliberatamente, persona per persona, da LFW. Essere un contatto registrato, o lavorare in un’organizzazione cliente, non lo concede. Revocare l’accesso invalida tutte le sessioni di quella persona, e un accesso concesso in seguito non le fa rivivere.

I ruoli del cliente sono proprietario, membro e lettore. I proprietari vedono tutti i siti della loro organizzazione; un membro vede i siti che gli sono stati concessi e nient’altro, né un altro sito della propria organizzazione né un’altra organizzazione. Lo storico dei documenti è in sola aggiunta: un ripristino aggiunge una revisione invece di cancellarne una.

Quando il personale di LFW consulta il portale di un cliente per aiutarlo con una richiesta, la consultazione è in sola lettura, segnalata sullo schermo, registrata e aperta da un token monouso che scade in due minuti.

5. Accesso al server

Il server accetta SSH solo con chiave. L’applicazione e ogni attività pianificata girano con un account di servizio senza privilegi e senza shell di accesso, e la directory dei dati è leggibile solo da quell’account. Il file dei segreti è limitato all’amministratore del server e a quell’account.

Le build non toccano mai le chiavi del server: girano in un container usa e getta senza volumi montati, che riceve il codice sorgente dal suo input e restituisce il sito costruito dal suo output.

6. Revisione e revoca

LFW tiene un inventario, per cliente, di ogni account che detiene e di come revocarlo. L’inventario serve da elenco di uscita: alla fine del contratto, ogni voce viene restituita o eliminata, e il cliente lo conferma.

Un cliente può revocare l’accesso di LFW in qualsiasi momento e senza preavviso. LFW non lo considera una violazione del contratto, e non cambia nulla di ciò che il cliente possiede.

7. Subappaltatori

LFW non ha dipendenti e non fa intervenire alcun subappaltatore sul sito di un cliente senza il consenso scritto del cliente. Chiunque LFW faccia intervenire è vincolato dalle stesse condizioni di riservatezza e riceve lo stesso tipo di accesso nominativo, limitato e revocabile.

8. Che cosa questa politica non afferma

LFW non partecipa a InCommon né ad altre federazioni di fiducia. Non offre ancora ai clienti un rapporto degli accessi e delle disconnessioni di ogni utente; ciò che il portale registra è descritto nella politica di sicurezza delle informazioni.