Sicurezza

1. Principi di sicurezza

• L'autorizzazione multi-tenant è applicata al boundary database e non solo nascondendo controlli nell'interfaccia.
• I record operativi sono scoped per organizzazione e l'accesso deriva dalla membership esplicita dell'organizzazione.
• Il Client Portal utilizza un contesto di accesso separato e limitato alla controparte autorizzata.
• Il supporto privilegiato di piattaforma deve selezionare esplicitamente il tenant e non si basa sull'impersonazione dell'identità del cliente.

2. Autenticazione e accessi

• L'autenticazione email/password è fornita tramite Supabase Auth.
• Controlli di ruolo e membership sono applicati alle operazioni amministrative e operative.
• Gli inviti pendenti occupano gli slot di accesso previsti quando applicabile per impedire aggiramenti dei limiti.
• Le credenziali service-role non sono esposte al codice browser.

3. Dati e infrastruttura

Il progetto Supabase production è configurato in eu-west-3, Parigi, Francia. Il progetto applicativo Vercel è configurato in cdg1, Parigi, Francia.

Il traffico applicativo utilizza HTTPS/TLS. L'infrastruttura hosted si basa sui controlli di sicurezza, storage e rete gestiti dai provider.

4. Isolamento tenant e Client Portal

• Policy database e funzioni SECURITY DEFINER revisionate applicano i confini tenant e ruolo.
• Gli utenti Client Portal derivano organizzazione e controparte dalla membership portale attiva invece di affidarsi a identificativi tenant forniti dal chiamante.
• Documenti e storage path visibili al cliente sono limitati ai record autorizzati nel relativo contesto portale.

5. Audit e change control

• Le modifiche sensibili a membership e inviti di organizzazione e Client Portal sono registrate negli access audit event.
• Le modifiche di autorizzazione database sono revisionate con test avversariali e advisor di sicurezza/performance Supabase.
• I rilasci production richiedono typecheck, lint, unit test, production build e smoke test prima del merge.

6. Segnalazione vulnerabilità e incidenti

Le segnalazioni di sicurezza devono essere inviate privatamente a legal@lytheron.com, includendo URL interessato, descrizione, passi di riproduzione e impatto quando possibile.

Non accedere a dati non propri, non interrompere la produzione, non utilizzare social engineering e non pubblicare una vulnerabilità prima che Lytheron abbia avuto un tempo ragionevole per investigare.

7. Certificazioni

Questa pagina descrive controlli e architettura implementati; non dichiara certificazioni ISO 27001, SOC 2 o equivalenti salvo pubblicazione esplicita da parte di Lytheron.