Pagina 2 di 4
Maurizio Fonte - Consulente Informatico - Ingegnere del Software e Cyber Security Specialist Freelance
Il file .env in produzione è spesso il punto debole più semplice di tutta la security posture. Ho documentato gli errori che trovo più spesso: .env committato su git, permessi errati, stesso .env per staging e produzione, secrets non ruotati da mesi. Vi mostro i pattern corretti per ogni fase del ciclo di vita. Continua a leggere
Il backup di un server web non è uno script da lanciare e dimenticare: è una strategia che mette insieme due cose diverse, i file e i database, ognuna con le sue regole. Il vecchio approccio "un programma che zippa tutto e te lo manda via email" è pericoloso: password in chiaro, nessuna cifratura, copia sulla stessa macchina. Vediamo come si fa davvero nel 2026, con gli strumenti giusti e la regola che conta più di tutte: un backup non è un backup finché non lo hai ripristinato. Continua a leggere
Le chat AI moderne richiedono streaming token-per-token a latenza sub-secondo. PHP non è lo strumento giusto per questo: Node.js lo è. Ti mostro l'architettura ibrida che ho implementato: Laravel gestisce sessione e business logic, un servizio Node/TypeScript standalone gestisce lo streaming via SSE verso il browser. Con gestione di backpressure, reconnect, cost tracking e integrazione con Claude API. Continua a leggere
Gestionale PHP 5.4 di un intermediario creditizio: 93.000 righe, dati di 11.000 clienti, password in MD5, zero cifratura, backup su disco USB. NIS2 e DORA imponevano adeguamento immediato. Da settembre a dicembre 2025 ho portato il sistema a PHP 8.4 con cifratura, audit trail, 2FA e documentazione che ha superato la verifica dell'auditor. Continua a leggere
Un refactoring CSS su un gestionale Laravel aveva rotto la visualizzazione di 12 componenti - nessuno se ne era accorto fino alle segnalazioni degli utenti. Con Playwright ho implementato test di regressione visuale: ogni PR che modifica CSS viene confrontata con screenshot di riferimento. I bug visivi vengono intercettati in CI. Continua a leggere
Ogni microservizio PHP implementava la propria autenticazione JWT in modo leggermente diverso. Con Kong come API gateway, l'autenticazione è centralizzata e i servizi ricevono un header con l'utente già validato. Ho aggiunto rate limiting per client, logging centralizzato e circuit breaker - senza toccare il codice PHP. Continua a leggere
Un RAG aziendale indicizza documenti interni e risponde alle domande. Se un attaccante inietta un documento nel corpus, può manipolare le risposte per tutti gli utenti. Ti racconto la metodologia di red team che applico: exfiltration di chunk sensibili, pivoting tra tenant multi-azienda, poisoning persistenti. Con tre proof-of-concept e il pattern di difesa applicativa. Continua a leggere
Datadog costa 30€ per host al mese. Per un'architettura con 8 microservizi PHP su Kubernetes, il costo era insostenibile. Ho migrato verso OpenTelemetry con collector auto-hosted e Jaeger come backend: zero costi aggiuntivi, stessa visibilità sulle trace distribuite tra i servizi. Continua a leggere
Se stai scrivendo CSS custom sopra Bootstrap 3 ti serve la lista esatta dei breakpoint della sua griglia, e quella che gira in rete è spesso sbagliata: confonde le dimensioni dei dispositivi con i tre punti reali del framework. Qui trovi i valori corretti, le variabili da cui derivano, e il contesto che conta davvero: Bootstrap 3 è senza supporto dal 2019, quindi sapere i suoi breakpoint serve a manutenere l'esistente, non a costruire il nuovo. Continua a leggere
Quando hai dieci microservizi che si parlano tra loro, la gestione della sicurezza e dell'osservabilità a livello applicativo diventa insostenibile. Con Istio, mutual TLS tra tutti i servizi, distributed tracing con Jaeger e circuit breaker configurabili via YAML - senza cambiare una riga di codice PHP. Continua a leggere
