Pagina 3 di 7
La maggior parte delle compromissioni nasce da una validazione mancante, un upload non filtrato, un secret in chiaro, molto più spesso che da un exploit sofisticato. Nel codice un'azienda si gioca i dati dei clienti, e lì un intervento mirato rende più di qualsiasi appliance perimetrale. Questa categoria vive dentro il codice.
Molti articoli trattano le classi di vulnerabilità che continuano a colpire: OWASP Top 10 applicata sul serio, XSS, SQL injection, SSRF e attacchi alla logica che il WAF non vede, autenticazione fatta bene (JWT senza le trappole dell'algorithm confusion, OAuth, WebAuthn e passwordless), crittografia con libsodium, sicurezza degli upload. Sono gli errori che trovo davvero negli assessment, ciascuno con la sua difesa.
Altri seguono la difesa lungo tutta la pipeline: gestione dei segreti e rotazione delle credenziali, security testing automatico (SAST e DAST) in CI, protezione della supply chain con Composer, WAF configurato per non bloccare il traffico legittimo. La sicurezza applicativa attraversa sviluppo e rilascio, dal primo commit al deploy.
E c'è la nuova superficie del codice AI-generated, che entra in produzione più in fretta di quanto venga revisionato e porta con sé classi di vulnerabilità ricorrenti: capirle e auditarle in modo sistematico è ormai parte del mestiere.
Se vuoi un audit di sicurezza applicativo o mettere in sicurezza un'applicazione, vedi la consulenza cybersecurity e NIS2 o scrivimi.
La sicurezza che funziona sta scritta nel codice. Quella comprata e mai configurata protegge poco.
Le password sono il problema più antico della sicurezza web. In una piattaforma Laravel B2B ho implementato autenticazione via passkey (WebAuthn) come alternativa principale e magic link come fallback. Il tasso di supporto dei browser moderni è abbastanza alto da rendere l'approccio pratico in produzione. Vi mostro l'implementazione. Continua a leggere
Un sistema di webhook che invia notifiche a 200 integratori terzi non può permettersi delivery inaffidabile. Ho costruito un sistema con coda prioritaria, retry esponenziale fino a 24 ore, firma HMAC per autenticità, logging di ogni tentativo e dashboard di monitoring per gli integratori. Zero delivery perse da 9 mesi. Continua a leggere
L'ecosistema AI è diventato un target di supply chain attack: modelli pubblicati su Hugging Face con backdoor, librerie Langchain/LlamaIndex con transitive dependencies non audit-abili, update automatici che introducono drift di comportamento. Ti mostro la strategia di hardening che applico: pinning dei modelli a digest SHA-256 (non tag), audit automatico delle dipendenze via Snyk/Dependabot, integrity checks su ogni deploy, separazione di ambienti con policy di network egress controllato. Continua a leggere
La sessione PHP è uno dei vettori di attacco più sottovalutati. In un assessment su un portale bancario PHP, ho dimostrato session fixation in meno di 10 minuti sfruttando un PHPSESSID passato in query string. Vi mostro la configurazione php.ini che elimina la classe di vulnerabilità e i pattern di sessione sicura per Laravel. Continua a leggere
Un agent LLM che può eseguire query al database, inviare email, chiamare API è una backdoor delegata. Un attaccante che controlla l'input controlla le azioni dell'agent. Ti mostro le classi di prompt injection più pericolose su agent systems, le strategie di difesa applicativa (input validation, output fencing, least privilege), e un esempio concreto di human-in-the-loop gate che ho implementato in un agent Laravel nella mia sandbox di audit. Continua a leggere
Ogni microservizio PHP implementava la propria autenticazione JWT in modo leggermente diverso. Con Kong come API gateway, l'autenticazione è centralizzata e i servizi ricevono un header con l'utente già validato. Ho aggiunto rate limiting per client, logging centralizzato e circuit breaker - senza toccare il codice PHP. Continua a leggere
Quando hai dieci microservizi che si parlano tra loro, la gestione della sicurezza e dell'osservabilità a livello applicativo diventa insostenibile. Con Istio, mutual TLS tra tutti i servizi, distributed tracing con Jaeger e circuit breaker configurabili via YAML - senza cambiare una riga di codice PHP. Continua a leggere
Le pipeline CI/CD sono diventate un vettore di attacco privilegiato: compromettere un'action GitHub condivisa significa comprometterne tutti i consumer. Ho auditato le pipeline di dieci clienti e trovato action appuntate a tag mutabili, secrets esposti nei log, e workflow con permessi eccessivi. Vi mostro le fix. Continua a leggere
ModSecurity con le regole OWASP CRS di default blocca il 30% delle richieste legittime su applicazioni PHP complesse. Il tuning è il lavoro vero. Vi mostro il processo che uso: audit mode per una settimana, analisi delle regole che scattano di più, whitelist chirurgiche e graduale passaggio a blocking mode. Continua a leggere
Un'API key di produzione finita su GitHub pubblico per errore di un junior. Con pre-commit hooks avrei potuto prevenirlo. Vi mostro il setup che uso su tutti i miei progetti: detect-secrets per le credenziali, PHPStan per i bug evidenti, licenza check e formattazione automatica. Installazione in 10 minuti. Continua a leggere
Tool gratuiti per verificare e irrobustire le tue applicazioni:
Audit JWT, Analisi security headers, Generatore CSP, Hash bcrypt e argon2, Cifratura AES.
