Sicurezza

Share Auth conserva segreti che aprono account. Questa pagina descrive come sono protetti, a ogni passaggio, e dove finisce ciò che lo strumento può garantire.

I seed restano cifrati

Un seed TOTP viene cifrato con AES-256 prima di essere salvato, con una chiave propria dell’applicazione che non si trova nel database. Viene decifrato solo nel momento in cui si calcola un codice, in memoria, e non viene mai restituito dall’API, dall’estensione per browser o dal connettore MCP: ricevono solo il codice corrente.

Ogni team è isolato

Un segreto appartiene a un team. Ogni richiesta verifica che faccia parte del team attivo della persona, poi che il suo ruolo consenta l’azione richiesta:

• lettore: consultare e copiare i codici, senza vedere il seed;
• editor: aggiungere e modificare i segreti, e vederne il seed;
• amministratore: tutto questo, più l’eliminazione e la fatturazione;
• proprietario: tutti i diritti, compresi i membri, la fatturazione e il registro degli accessi.

A questo si aggiungono i limiti del tuo piano, che non eliminano mai nulla.

Ogni codice comunicato viene registrato

Il registro degli accessi annota chi ha ottenuto quale codice, quando e da quale canale: sito, API, Slack, Discord o Microsoft Teams, con l’indirizzo IP per il sito e l’API. È riservato al proprietario. Le consultazioni ripetute dello stesso segreto da parte della stessa persona vengono raggruppate in intervalli di cinque minuti, perché una pagina lasciata aperta non sommerga la cronologia.

I bot di messaggistica

Ogni chiamata di un bot è autenticata dalla firma della piattaforma (Slack, Discord o Microsoft Teams), e il numero di comandi per persona è limitato. Solo il proprietario può creare un’integrazione, e può disattivarla in qualsiasi momento.

Un’integrazione apre l’accesso a tutto il workspace collegato: la piattaforma dimostra da dove arriva il comando, non quale account Share Auth lo lancia, e quindi i ruoli del team non si applicano. Le restrizioni per canale limitano i segreti che ogni canale può ottenere. Ogni codice comunicato da un bot compare nel registro, con il nome dichiarato dalla piattaforma.

Gli account sono protetti

• Autenticazione a due fattori del tuo account Share Auth tramite app TOTP, con codici di recupero.
• Senza app di autenticazione, ogni nuovo browser deve essere confermato via e-mail, con un link o un codice. Un browser confermato viene riconosciuto per 30 giorni.
• La password viene richiesta di nuovo prima di collegare un nuovo dispositivo, come l’estensione per browser.

I token API hanno dei limiti

Un token ha i permessi scelti al momento della creazione, e nessun altro: un token che elenca e legge codici non può modificare nulla. Dura 1, 7, 30 o 90 giorni, si revoca dal tuo profilo, e l’API limita ogni utente a 60 richieste al minuto.

Hosting e trasporto

I dati sono ospitati in Francia. Tutto passa in HTTPS, con HSTS, e le pagine dell’applicazione che mostrano segreti non vengono mai messe in cache. I dettagli sui fornitori si trovano nell’informativa sulla privacy.

Cosa Share Auth non fa

Share Auth condivide codici 2FA. Non sostituisce un gestore di password né una strategia di gestione delle identità, e non protegge un account la cui password circola già. Tieni corta la lista dei tuoi editor: sono loro a poter vedere i seed.