Sicurezza e incident response

Controlli

• TLS per dati in transito e protezione a riposo dei provider.
• Segreti conservati nel secret manager, mai nel repository.
• Accesso con privilegio minimo, session token Shopify e verifica HMAC dei webhook.
• Log strutturati senza dati cliente diretti, dipendenze verificate e backup gestiti.
• Ambienti e credenziali separati ove applicabile; dati di test non usati per finalità commerciali.

Gestione incidenti

Segnalare vulnerabilità a mikforlani@gmail.com con oggetto SECURITY. Confermiamo la ricezione, conteniamo l’evento, analizziamo impatto e causa, ripristiniamo in sicurezza e notifichiamo merchant, Shopify e autorità nei termini applicabili. Non pubblicare dettagli prima del coordinamento della correzione.