--- title: "Archivio Articoli del Gennaio 2026" description: "Articoli su Programmazione, Consulenza Informatica e Cyber Security del Gennaio 2026 - Pagina 1 di 4" canonical: "https://www.mauriziofonte.it/blog/data/2026-gennaio.html" author: "Maurizio Fonte" --- [Dicembre 2025](https://www.mauriziofonte.it/blog/data/2025-dicembre.html)[Febbraio 2026](https://www.mauriziofonte.it/blog/data/2026-febbraio.html)Archivio # Archivio Articoli del Gennaio 2026 Pagina 1 di 4 Maurizio Fonte - Consulente Informatico - Ingegnere del Software e Cyber Security Specialist Freelance 1[2](https://www.mauriziofonte.it/blog/data/2026-gennaio.md?page=2)[3](https://www.mauriziofonte.it/blog/data/2026-gennaio.md?page=3)[4](https://www.mauriziofonte.it/blog/data/2026-gennaio.md?page=4) [PHP](https://www.mauriziofonte.it/blog/cat/php.html) [Architettura Software](https://www.mauriziofonte.it/blog/cat/architettura_software.html) ## [PHP 8 Enums: sostituire le costanti di classe e i magic strings nei domini di business](https://www.mauriziofonte.it/blog/post/php-8-enums-sostituire-costanti-magic-strings-domini-business.html) 30/01/2026 ![PHP 8 Enums: sostituire le costanti di classe e i magic strings nei domini di business](https://www.mauriziofonte.it/image/002670200-php-8-enums-sostituire-costanti-magic-strings-domini-business.jpg) Ogni codebase PHP legacy che eredo ha la stessa peste: costanti integer o stringhe magiche per rappresentare stati di business. ORDINE_STATO_1, ORDINE_STATO_2. Con PHP 8 Enums, ho modernizzato un sistema ordini trasformando 40 costanti sparse in enum tipizzati con metodi di dominio. Il codice è diventato leggibile. [Continua a leggere](https://www.mauriziofonte.it/blog/post/php-8-enums-sostituire-costanti-magic-strings-domini-business.html) Ultima modifica: Martedì 14 Aprile 2026, alle 17:48 [Penetration Testing](https://www.mauriziofonte.it/blog/cat/penetration-testing.html) [AI Security](https://www.mauriziofonte.it/blog/cat/ai-code-security.html) ## [Vettori di attacco nel codice generato da LLM: analisi offensiva delle vulnerabilità ricorrenti](https://www.mauriziofonte.it/blog/post/vettori-attacco-codice-generato-llm-analisi-offensiva.html) 29/01/2026 ![Vettori di attacco nel codice generato da LLM: analisi offensiva delle vulnerabilità ricorrenti](https://www.mauriziofonte.it/image/003800200-vettori-attacco-codice-generato-llm-analisi-offensiva.jpg) Dal punto di vista di un attaccante, il codice LLM-generated è una miniera d'oro. I pattern ricorrenti - concatenazione di input in query, gestione uniforme degli errori che leak info sensibili, assunzioni di sanitizzazione fatte dall'LLM senza dirlo - sono sfruttabili con PoC mirati. Ti racconto 5 classi di attacco osservate su codice reale, con exploit dimostrato e la strategia di difesa applicativa che uso in audit. [Continua a leggere](https://www.mauriziofonte.it/blog/post/vettori-attacco-codice-generato-llm-analisi-offensiva.html) Ultima modifica: Venerdì 19 Giugno 2026, alle 10:51 [Penetration Testing](https://www.mauriziofonte.it/blog/cat/penetration-testing.html) [DevOps](https://www.mauriziofonte.it/blog/cat/devops.html) ## [Automated security testing in CI: integrare DAST e SAST nella pipeline PHP](https://www.mauriziofonte.it/blog/post/automated-security-testing-ci-dast-sast-pipeline-php.html) 29/01/2026 ![Automated security testing in CI: integrare DAST e SAST nella pipeline PHP](https://www.mauriziofonte.it/image/003080200-automated-security-testing-ci-dast-sast-pipeline-php.jpg) Security testing manuale è costoso e non scala. Ho costruito un layer di security testing automatico nella pipeline GitHub Actions di un cliente: PHPStan per l'analisi statica, OWASP ZAP in modalità baseline per il DAST, Trivy per i container. Zero colli di bottiglia, il tempo di CI è aumentato solo di 4 minuti. [Continua a leggere](https://www.mauriziofonte.it/blog/post/automated-security-testing-ci-dast-sast-pipeline-php.html) Ultima modifica: Giovedì 29 Gennaio 2026, alle 07:50 [DevOps](https://www.mauriziofonte.it/blog/cat/devops.html) [Sicurezza Applicazioni](https://www.mauriziofonte.it/blog/cat/sicurezza-applicazioni.html) ## [CI/CD sicuro: proteggere la pipeline da injection e supply chain attack](https://www.mauriziofonte.it/blog/post/cicd-sicuro-proteggere-pipeline-injection-supply-chain-attack.html) 28/01/2026 ![CI/CD sicuro: proteggere la pipeline da injection e supply chain attack](https://www.mauriziofonte.it/image/003160200-cicd-sicuro-proteggere-pipeline-injection-supply-chain-attack.jpg) Le pipeline CI/CD sono diventate un vettore di attacco privilegiato: compromettere un'action GitHub condivisa significa comprometterne tutti i consumer. Ho auditato le pipeline di dieci clienti e trovato action appuntate a tag mutabili, secrets esposti nei log, e workflow con permessi eccessivi. Vi mostro le fix. [Continua a leggere](https://www.mauriziofonte.it/blog/post/cicd-sicuro-proteggere-pipeline-injection-supply-chain-attack.html) Ultima modifica: Mercoledì 28 Gennaio 2026, alle 07:55 [Cloud](https://www.mauriziofonte.it/blog/cat/cloud-infrastructure.html) [Compliance](https://www.mauriziofonte.it/blog/cat/compliance.html) ## [GPU cloud per inference LLM self-hosted: Scaleway, Lambda Labs e RunPod a confronto per PMI italiane](https://www.mauriziofonte.it/blog/post/gpu-cloud-inference-self-hosted-scaleway-lambda-labs-runpod-pmi.html) 27/01/2026 ![GPU cloud per inference LLM self-hosted: Scaleway, Lambda Labs e RunPod a confronto per PMI italiane](https://www.mauriziofonte.it/image/003790200-gpu-cloud-inference-self-hosted-scaleway-lambda-labs-runpod-pmi.jpg) Self-hosting di LLM medi (Llama 3 70B, Mistral Large) richiede GPU di classe A100 o H100 che non trovi su Hetzner o OVH tradizionali. I provider specializzati sono Scaleway (EU, GDPR-friendly), Lambda Labs (best performance, US-based), RunPod (cheapest spot instances). Ti mostro il confronto su workload reali: costi orari effettivi per token, latenza, affidabilità dell'orchestrazione, compliance GDPR per PMI italiane che non possono esportare dati fuori dall'UE. [Continua a leggere](https://www.mauriziofonte.it/blog/post/gpu-cloud-inference-self-hosted-scaleway-lambda-labs-runpod-pmi.html) Ultima modifica: Venerdì 19 Giugno 2026, alle 10:51 [Sicurezza Applicazioni](https://www.mauriziofonte.it/blog/cat/sicurezza-applicazioni.html) [Linux & Server](https://www.mauriziofonte.it/blog/cat/linux.html) ## [Web Application Firewall (WAF) su Nginx: ModSecurity per applicazioni PHP senza falsi positivi](https://www.mauriziofonte.it/blog/post/waf-nginx-modsecurity-applicazioni-php-senza-falsi-positivi.html) 27/01/2026 ![Web Application Firewall (WAF) su Nginx: ModSecurity per applicazioni PHP senza falsi positivi](https://www.mauriziofonte.it/image/003670200-waf-nginx-modsecurity-applicazioni-php-senza-falsi-positivi.jpg) ModSecurity con le regole OWASP CRS di default blocca il 30% delle richieste legittime su applicazioni PHP complesse. Il tuning è il lavoro vero. Vi mostro il processo che uso: audit mode per una settimana, analisi delle regole che scattano di più, whitelist chirurgiche e graduale passaggio a blocking mode. [Continua a leggere](https://www.mauriziofonte.it/blog/post/waf-nginx-modsecurity-applicazioni-php-senza-falsi-positivi.html) Ultima modifica: Martedì 27 Gennaio 2026, alle 08:55 [DevOps](https://www.mauriziofonte.it/blog/cat/devops.html) [Sicurezza Applicazioni](https://www.mauriziofonte.it/blog/cat/sicurezza-applicazioni.html) ## [Git hooks per la sicurezza: prevenire il commit di secrets e codice vulnerabile](https://www.mauriziofonte.it/blog/post/git-hooks-sicurezza-prevenire-commit-secrets-codice-vulnerabile.html) 26/01/2026 ![Git hooks per la sicurezza: prevenire il commit di secrets e codice vulnerabile](https://www.mauriziofonte.it/image/003430200-git-hooks-sicurezza-prevenire-commit-secrets-codice-vulnerabile.jpg) Un'API key di produzione finita su GitHub pubblico per errore di un junior. Con pre-commit hooks avrei potuto prevenirlo. Vi mostro il setup che uso su tutti i miei progetti: detect-secrets per le credenziali, PHPStan per i bug evidenti, licenza check e formattazione automatica. Installazione in 10 minuti. [Continua a leggere](https://www.mauriziofonte.it/blog/post/git-hooks-sicurezza-prevenire-commit-secrets-codice-vulnerabile.html) Ultima modifica: Lunedì 26 Gennaio 2026, alle 08:17 [Sicurezza Applicazioni](https://www.mauriziofonte.it/blog/cat/sicurezza-applicazioni.html) [Penetration Testing](https://www.mauriziofonte.it/blog/cat/penetration-testing.html) ## [Sicurezza JWT in PHP: vulnerabilità nell'implementazione e come costruire token sicuri](https://www.mauriziofonte.it/blog/post/sicurezza-jwt-php-vulnerabilita-implementazione-token-sicuri.html) 23/01/2026 ![Sicurezza JWT in PHP: vulnerabilità nell'implementazione e come costruire token sicuri](https://www.mauriziofonte.it/image/003480200-sicurezza-jwt-php-vulnerabilita-implementazione-token-sicuri.jpg) JWT è facile da implementare male. Ho trovato algorithm confusion attack (alg: none) in tre API Laravel auditate nell'ultimo anno - una vulnerabilità che permette di forgiare token validi senza conoscere il segreto. Vi spiego le vulnerabilità tipiche e il pattern di implementazione sicura con firebase/php-jwt. [Continua a leggere](https://www.mauriziofonte.it/blog/post/sicurezza-jwt-php-vulnerabilita-implementazione-token-sicuri.html) Ultima modifica: Venerdì 23 Gennaio 2026, alle 10:08 [Backend Development](https://www.mauriziofonte.it/blog/cat/backend-development.html) [LLM Automation](https://www.mauriziofonte.it/blog/cat/llm-automation.html) ## [Python e PHP nella stessa pipeline AI: FastAPI come orchestrator di LLM per backend Laravel](https://www.mauriziofonte.it/blog/post/python-php-pipeline-ai-fastapi-orchestrazione-llm.html) 23/01/2026 ![Python e PHP nella stessa pipeline AI: FastAPI come orchestrator di LLM per backend Laravel](https://www.mauriziofonte.it/image/003780200-python-php-pipeline-ai-fastapi-orchestrazione-llm.jpg) Python è la lingua franca delle librerie AI: Langchain, Transformers, LlamaIndex. PHP non ha questo ecosistema, ma ha la logica di business. La soluzione pragmatica è un'architettura ibrida: FastAPI come orchestrator degli LLM, Laravel come backend di dominio. Ti mostro il pattern di comunicazione, l'autenticazione inter-servizi, il deployment su singolo VPS e le trappole che ho incontrato mettendo questa architettura in produzione. [Continua a leggere](https://www.mauriziofonte.it/blog/post/python-php-pipeline-ai-fastapi-orchestrazione-llm.html) Ultima modifica: Venerdì 19 Giugno 2026, alle 10:51 [Penetration Testing](https://www.mauriziofonte.it/blog/cat/penetration-testing.html) [Sicurezza Applicazioni](https://www.mauriziofonte.it/blog/cat/sicurezza-applicazioni.html) ## [Vulnerability disclosure responsabile: come gestire la scoperta di una falla in produzione](https://www.mauriziofonte.it/blog/post/vulnerability-disclosure-responsabile-falla-produzione-php.html) 22/01/2026 ![Vulnerability disclosure responsabile: come gestire la scoperta di una falla in produzione](https://www.mauriziofonte.it/image/003660200-vulnerability-disclosure-responsabile-falla-produzione-php.jpg) Ho trovato una vulnerabilità critica in un gestionale PHP usato da 300 PMI italiane. Non era un mio cliente. La gestione della disclosure è stata complicata: il vendor non aveva un canale dedicato, i tempi di fix erano incerti, e le PMI erano a rischio. Vi racconto come ho gestito ogni fase. [Continua a leggere](https://www.mauriziofonte.it/blog/post/vulnerability-disclosure-responsabile-falla-produzione-php.html) Ultima modifica: Giovedì 22 Gennaio 2026, alle 07:36 1[2](https://www.mauriziofonte.it/blog/data/2026-gennaio.md?page=2)[3](https://www.mauriziofonte.it/blog/data/2026-gennaio.md?page=3)[4](https://www.mauriziofonte.it/blog/data/2026-gennaio.md?page=4) --- **Programmatore PHP Torino**, **Ingegnere del Software** e **Cyber Security Specialist** con oltre 20 anni di esperienza nell'implementazione di soluzioni avanzate. Eseguo **porting di vecchi ambienti PHP** verso release più moderne (7.x o 8.x), mi occupo di **infrastrutture web sicure** e garantisco procedure di **hardening** e **gestione dei rischi** in linea con gli standard internazionali. Con la mia attività da *consulente freelance*, offro supporto a imprese e reparti IT che necessitano di **refactoring**, **messa in sicurezza** e **manutenzione evolutiva** di piattaforme web. Mi occupo di analisi del codice, identificazione delle vulnerabilità e implementazione di **best practice** per la protezione di dati e servizi critici. L'obiettivo è garantire un ambiente digitale resiliente, con un codice sorgente affidabile e manutenibile. --- ## Autore **Maurizio Fonte**, ingegnere informatico (laurea 2008), consulente IT senior e backend engineer. Nel settore IT dal 2005, libero professionista con P.IVA dal 2014. Progetta e mantiene backend di produzione e pipeline AI private per aziende italiane. Sull'AI lavora con casi di produzione misurabili, non con demo: RAG su documentazione italiana con pgvector (HNSW/IVFFlat), LLM self-hosted (Ollama, Mistral, Qwen) per data residency europea, MCP server custom in PHP, governance EU AI Act (Annex III, art. 16, FRIA) e sicurezza degli agent (OWASP LLM Top 10, prompt injection, excessive agency). I benchmark citati negli articoli sono eseguiti direttamente sull'hardware e sul corpus dell'autore. ## Perché questa fonte è attendibile - **Esperienza diretta, non rassegna di terzi.** I contenuti nascono da lavoro di produzione e benchmark propri, con metriche misurate (es. un RAG self-hosted su 2.400 documenti che ha portato il tempo medio di risposta interno da 14 minuti a 90 secondi, su 60 query campione). - **Verificabilità.** Ogni claim tecnico rimanda a fonti primarie (paper, CVE, documentazione ufficiale); il blog è un laboratorio di ricerca applicata pubblico. - **Onestà metodologica.** Ogni soluzione dichiara anche quando NON va usata. "Production-grade, non demo-grade". ## Entità e contatti (verificabili) Maurizio Fonte, Torino, Italia. P.IVA IT11396570019. REA TO-1331015 (Camera di Commercio di Torino). GitHub: https://github.com/mauriziofonte LinkedIn: https://www.linkedin.com/in/mauriziofonte Profilo: https://www.mauriziofonte.it/pages/about