Quarantena e difese anti-abuso
Il modulo di segnalazione è l’unica superficie che accetta contenuti da sconosciuti, allegati compresi. È protetto su più livelli, con un principio guida: una segnalazione autentica non deve andare persa, nemmeno quando una difesa non riesce a pronunciarsi.
I livelli di difesa
| Livello | Come funziona | Se scatta |
|---|---|---|
| Limite di frequenza | Conteggio degli invii per indirizzo di provenienza, su una finestra breve e su base giornaliera. | Messaggio «troppe segnalazioni da questo indirizzo, riprova più tardi». |
| Campo trappola | Un campo nascosto che un essere umano non può compilare. | Invio scartato in silenzio, dietro una schermata di ringraziamento plausibile. |
| Tempo minimo | Un contrassegno firmato dal server misura quanto tempo è passato fra apertura e invio. | Invio istantaneo scartato in silenzio. |
| Verifica anti-bot | Cloudflare Turnstile, se configurata sull’installazione. | Token non valido: invio rifiutato con messaggio esplicito. |
| Limiti di contenuto | Descrizione fra 10 e 5000 caratteri, email valida o vuota, dimensione complessiva massima. | Errore in pagina, con il testo conservato. |
| Quarantena | Il segnale resta non promosso (INCOMING). | Non diventa un case né entra nel fascicolo finché una persona non lo esamina e lo promuove. |
Quando la verifica anti-bot non è raggiungibile
Se il servizio di verifica non risponde per un problema di rete, l’invio viene accettato e il segnale è marcato «turnstile non verificabile» nel registro. È una scelta deliberata: perdere una segnalazione autentica è un danno peggiore di un segnale di spam che comunque resta non promosso. Un token presente ma non valido è invece un rifiuto netto.
Allegati non fidati
I file arrivati dal modulo pubblico sono trattati come materiale ostile fino a prova contraria:
- sono conservati separatamente e marcati non verificati;
- non vengono mai mostrati dentro la pagina: si scaricano soltanto, con un tipo di contenuto che impedisce l’esecuzione nel browser;
- sono accessibili solo agli utenti autenticati della tua organizzazione, mai da un indirizzo indovinato;
- l’estensione dichiarata non basta: il tipo reale viene riconosciuto dal contenuto e i formati non ammessi vengono scartati.
Aprili in un ambiente isolato. Un allegato di segnalazione è, per definizione, un file che qualcuno ha costruito per dimostrarti che qualcosa si rompe.
Se un allegato viene scartato per formato o dimensione, il resto della segnalazione entra comunque: il testo non si perde per colpa di un file.
La verifica preliminare
Finché il segnale resta non promosso (INCOMING) le azioni sono tre: promuoverlo a case, collegarlo a un case esistente, oppure archiviarlo (duplicato, informativo o scartato). La revisione risponde a tre domande:
- È pertinente? Riguarda un tuo prodotto e ha rilievo di sicurezza, o è una richiesta di assistenza travestita?
- È intelligibile? C’è abbastanza per capire di che cosa si parla, o va chiesto un chiarimento al segnalante?
- È un duplicato? Se sì, collegalo al case esistente.
Un’archiviazione conserva la motivazione: anche la decisione di non trattare una segnalazione è una decisione tracciata.
Buona pratica. Esamina ogni segnale entro poche ore lavorative. Un segnale non fa correre alcun termine di legge finché non è promosso a case; ma al momento della promozione il momento di consapevolezza si fissa esplicitamente e può indicare un istante anteriore — quello in cui l’organizzazione ha davvero saputo. Rimandare la revisione non guadagna tempo.
Dati del segnalante
Il recapito è facoltativo. Se assente, il segnale riporta «non fornito (anonimo)». Al segnalante appare soltanto una schermata generica di avvenuta ricezione: nessuna presa d’atto automatica e nessun numero di protocollo pubblico. Se il recapito è presente, viene usato solo per un eventuale riscontro da parte di una persona: non alimenta liste né comunicazioni commerciali. Il trattamento è descritto nell’informativa privacy.
Isolamento fra organizzazioni
Ogni modulo è legato a una sola organizzazione tramite il codice nell’indirizzo. Un codice inesistente restituisce «pagina non trovata» — non si scopre quali organizzazioni esistono provando indirizzi. Le segnalazioni ricevute sono visibili solo agli utenti dell’organizzazione destinataria.