La catena si ricalcola, non si crede
L’impronta di un elemento è calcolata lato server sui byte effettivamente conservati. Un’impronta offerta dal client non viene accettata. Due scritture in corsa sulla stessa posizione si risolvono senza danni: chi perde rilegge la coda della catena e riprova.
Il sigillo rifiuta una catena rotta
Il sigillo piega le impronte in ordine in una radice unica e registra quanti elementi copre. Se la catena non verifica, il sigillo non esiste: lo stato viene dichiarato, non aggiustato.
I link dei portali sono senza stato e revocabili
Il token è un payload firmato; dietro non c’è nessuna sessione. Il filtro per ruolo è dentro la query. Rilasciare l’incarico uccide i suoi link all’istante, scaduti o no.
Le password delle caselle PEC sono cifrate a riposo
Conservate con cifratura autenticata sotto una chiave che sta nell’ambiente, e omesse da ogni lettura. La verifica di una casella fa una connessione vera e riporta l’esito: un login rifiutato è una risposta, non un errore.
Il ponte pubblico fallisce chiuso
Senza la sua chiave di firma ogni rotta versionata risponde 503. Ha limiti di frequenza per indirizzo e per azienda, un tetto ai caricamenti, e può scrivere solo nella coda delle segnalazioni.
Il confine è l’azienda
I dati sono separati per tenant, e ogni rotta nomina il permesso che pretende prima di guardare la sessione. Sinistri e soccorso hanno cataloghi di permessi indipendenti.
Terreno europeo
Infrastruttura, archiviazione e trattamento restano nell’Unione Europea. Il sito non monta analitica propria e serve i suoi font dal proprio origine: dal nostro markup non parte una richiesta alla rete di qualcun altro. Una riserva che preferiamo dirti invece di lasciartela trovare: la rete di distribuzione davanti al sito inietta in ogni pagina un suo script di misura. Non è nostro e da qui non lo governiamo.
Il dato sanitario è trattato come tale
Una lesione è un indicatore e una descrizione breve, minimizzata di proposito. Non è una cartella clinica, e non deve diventarlo.