Zitadel in alta disponibilità: due nodi e upgrade a zero downtime
Due istanze di un binario stateless dietro un bilanciatore sembrano il caso più semplice di alta disponibilità, e lo sarebbero se non ci fosse una fase che tocca lo schema del database. È quella fase a imporre un ordine fra i nodi, a rendere l'aggiornamento asimmetrico e a decidere se il rollback funziona ancora. La sequenza completa, lo script che la esegue, i codici di uscita per la pipeline, cosa monitorare davvero e le due cose che con la versione 4 sono cambiate. Continua a leggere
Ultima modifica:
Una PMI può trovarsi soggetta sia alla NIS2 sia all'AI Act, con obblighi che in parte si sovrappongono e scadenze ravvicinate. Mappa pratica per un decisore: dove i due quadri si toccano (gestione del rischio, incident reporting, governance), la doppia scadenza dell'autunno 2026 e il doppio ruolo dell'ACN come autorità NIS2 e vigilanza AI Act. Dove tocca l'infrastruttura, il fit per chi non ha team interno è il managed italiano, non il fai-da-te. 
La guida ufficiale all'installazione di Zitadel su Linux si apre dichiarando che non vale per la versione 4 e ti manda su Docker. Il deploy nativo però funziona ancora, e i binari sono lì fra gli artefatti di rilascio: quello che cambia è che i componenti da installare sono due e non più uno. Questa è la procedura completa su Debian, con i tre file di configurazione, l'unità systemd che regge un audit, lo split di routing, cosa salvare davvero e i tre modi in cui si rompe. 
Il 2 agosto 2026 non scatta tutto l'AI Act. Chiarezza sul quadro a due binari: in vigore l'applicabilità generale, la trasparenza dell'Art. 50 e i poteri di enforcement della Commissione sui GPAI (i cui obblighi valgono dal 2 agosto 2025); rinviato al 2 dicembre 2027 l'high-risk dell'Annex III, ma dal Digital Omnibus che resta provvisorio fino alla pubblicazione in Gazzetta Ufficiale UE. Il claim da non scrivere e cosa un decisore deve fare adesso. 
Il confronto fra identity provider gestito e self-hosted viene quasi sempre fatto male, e in entrambe le direzioni: chi vende il gestito confronta il canone con zero, chi tifa per il self-hosting dimentica che le ore di un sistemista costano più di un abbonamento. Qui metto i prezzi reali di Auth0 e Okta accanto al costo di una macchina che regge Zitadel, aggiungo le due voci che mancano sempre (le ore e il costo di uscita), e dico anche in quali tre casi comprare resta la scelta giusta. 
Debian 13.5 (16 maggio 2026) porta fix di sicurezza e stabilità, incluso quello dell'escape nspawn in systemd 257. Come gestisco gli aggiornamenti di un parco di VPS in produzione senza sorprese: la differenza tra un point release e una nuova versione, unattended-upgrades configurato in modo conservativo, la verifica post-aggiornamento e il ciclo di vita di Debian 13 fino al 2030 per pianificare gli upgrade di una PMI. 
Le comparative fra identity provider self-hosted si fermano quasi sempre alla tabella delle feature, dove i due prodotti sembrano identici perché parlano gli stessi protocolli. La differenza vera sta altrove: nel modello di autorizzazione, che decide come disegnerai il sistema; nel footprint, che decide quanto ti costa tenerlo acceso; e nella licenza, che dal 2025 non è più la stessa. Il confronto con i numeri di entrambi e i criteri con cui ho scelto per un impianto in produzione. 
Non tutte le PMI hanno un team sistemistico interno, e per chi ha requisiti di sovranità del dato, conformità NIS2 e continuità garantita, il provider cloud low-cost self-managed non è la risposta. Il caso per un fornitore italiano fully-managed con disaster recovery e datacenter sul territorio: confronto onesto del costo totale di gestione contro il prezzo nudo del self-managed, e i criteri per capire quando il managed italiano è la scelta razionale e non un sovrapprezzo. 
Chi arriva a Zitadel da Keycloak o da Auth0 sbaglia quasi sempre lo stesso passaggio: tratta l'applicazione come il confine di fiducia. Non lo è. Il confine è il progetto, e la conseguenza finisce dentro l'audience del token, dove trovi un identificativo diverso da quello che ti aspetti. Il modello mentale completo, da istanza e organizzazione fino ai grant e agli scope riservati, più il costo di accorgersi tardi di aver sbagliato i confini. Primo di tredici articoli su un'integrazione vera. 
Le guide su Hetzner si fermano al Cloud VPS, ma il catalogo è più ampio e per certi workload la scelta giusta è un'altra. I dedicati Robot per database e carichi RAM-intensive, le StorageBox per backup a basso costo, le CCX a vCPU dedicata per eliminare il noisy-neighbor sui workload latenza-sensibili. Quando ciascuna linea conviene rispetto al Cloud, con un confronto onesto anche di quando NON usare Hetzner: compliance USA, niente DBaaS gestito, niente CDN integrata.