Sicurezza in ZillaSoft
Come proteggiamo il tuo account, i tuoi dati e l'infrastruttura che alimenta i nostri prodotti.
Cosa facciamo per proteggerti
Queste pratiche sono in vigore oggi, non pianificate per il futuro.
HTTPS ovunque
Tutto il traffico viene servito esclusivamente tramite HTTPS. Le richieste HTTP vengono rifiutate. HSTS viene applicato con un max-age di un anno per prevenire attacchi di downgrade del protocollo.
Header di sicurezza
Ogni risposta include X-Content-Type-Options, X-Frame-Options (DENY), Referrer-Policy (strict-origin-when-cross-origin) e una rigida Content Security Policy (CSP) applicata a livello CDN. La protezione XSS è gestita dalla CSP con una policy script-src 'self' anziché dall'intestazione obsoleta X-XSS-Protection.
Autenticazione tramite Auth0
Tutta l'autenticazione degli utenti è gestita da Auth0 tramite il flusso PKCE con token di aggiornamento rotanti. ZillaSoft non memorizza mai le password. I token di sessione sono gestiti dall'SDK di Auth0 nel tuo browser e cancellati alla disconnessione.
Cifratura dei dati a riposo
Tutti i dati degli snippet Snipzilla vengono cifrati localmente con AES-256-GCM. L'accesso è protetto da una passphrase personale, con un codice di recupero monouso come riserva, e la chiave di cifratura è conservata nel portachiavi del sistema operativo del dispositivo, mai scritta sul disco insieme ai dati. I file degli snippet sono illeggibili a riposo, anche con accesso diretto alla memoria sottostante.
Distribuzione globale via CDN
Il sito web di ZillaSoft è servito tramite AWS CloudFront, una CDN distribuita globalmente. Le risorse statiche vengono servite da posizioni edge vicine a ciascun visitatore senza esporre alcun server di origine alla rete internet pubblica.
Autenticazione e-mail
Tutte le e-mail in uscita da zillasoft.io sono protette dalla firma DKIM e dall'applicazione della policy DMARC. Questo previene lo spoofing e garantisce l'integrità delle e-mail per i messaggi transazionali e di notifica.
Protezione da bot e spam
Tutti i moduli pubblici utilizzano Cloudflare Turnstile per verificare le submissioni umane senza tracciamento invasivo. Uno strato honeypot secondario filtra silenziosamente i bot automatizzati prima che qualsiasi richiesta raggiunga il nostro backend.
Limitazione del traffico API
La nostra API applica limiti di traffico per endpoint per prevenire abusi e tentativi di forza bruta. Le richieste che superano le soglie vengono rifiutate prima di raggiungere la logica applicativa.
I tuoi dati rimangono sul tuo dispositivo
I tuoi dati degli utenti del piano Standard sono memorizzati localmente sul tuo computer e non vengono mai trasmessi ai server di ZillaSoft. La sincronizzazione cloud è inclusa nei piani Trial, Premium e Enterprise ed è attiva per impostazione predefinita. I dati sincronizzati vengono cifrati end-to-end prima di lasciare il tuo dispositivo.
Eliminazione completa dell'account
Gli utenti possono eliminare permanentemente il proprio account direttamente dalla dashboard in qualsiasi momento. L'eliminazione si propaga a tutti i sistemi: l'abbonamento viene annullato, tutti i dati archiviati vengono rimossi dal nostro database e il record di identità viene eliminato dal nostro provider di autenticazione. Nulla rimane.
Nessuna pubblicità né tracciamento tra siti
Il sito web di ZillaSoft non esegue script di pubblicità, tracciamento tra siti o fingerprinting. Le terze parti che carichiamo si limitano a Cloudflare Web Analytics (senza cookie, senza profilazione), Sentry per il monitoraggio di errori e prestazioni (ospitato nell'UE), Cloudflare Turnstile (protezione da bot nei moduli) e Stripe (pagamento nelle pagine dello store). I font sono auto-ospitati, quindi nessuna richiesta viene inviata a Google Fonts o servizi simili.
Nessun keylogging, mai
Snipzilla richiede un hook globale della tastiera per rilevare il carattere trigger configurato durante la digitazione. Questo meccanismo è lo stesso usato dai keylogger, quindi è opportuno essere diretti: Snipzilla osserva solo il tuo carattere trigger. Nessuna pressione di tasto viene registrata, archiviata, trasmessa o condivisa. L'hook esiste esclusivamente per rilevare i trigger di espansione e nient'altro.
Sincronizzazione cifrata end-to-end
I dati sincronizzati nel cloud vengono cifrati end-to-end con AES-256-GCM. La cifratura e la decifratura avvengono interamente sul tuo dispositivo. Il server memorizza solo testo cifrato che non può leggere. Un codice di recupero viene generato alla prima sincronizzazione; conservalo per ripristinare l'accesso su un nuovo dispositivo. Tutti i dati sono protetti in transito da HTTPS.
Integrazione tra app solo locale
Snipzilla e Stashzilla comunicano tra loro esclusivamente tramite una connessione locale di loopback (127.0.0.1) sul tuo dispositivo, e solo quando sei tu ad attivarla (ad esempio, per scegliere un elemento o salvarlo come snippet). Gli elementi degli appunti e gli snippet scambiati restano sul tuo computer e non vengono mai inviati a ZillaSoft tramite questa integrazione.
Runs on Atlassian (app per Jira)
Snipzilla Templates for Jira viene eseguita interamente sulla piattaforma Forge di Atlassian. Non effettua alcuna chiamata di rete in uscita (zero egress), quindi i tuoi modelli e i dati delle issue non lasciano mai l'infrastruttura di Atlassian né raggiungono ZillaSoft. Richiede solo gli scope Jira minimi di cui ha bisogno, e ogni azione viene eseguita con i permessi dell'utente connesso.
Divulgazione responsabile
Hai trovato un problema di sicurezza? Vogliamo saperlo. Segnala le vulnerabilità in privato prima della divulgazione.
Un file security.txt è disponibile all'indirizzo /.well-known/security.txt con i nostri dati di contatto nel formato standard per i ricercatori di sicurezza.
Come segnalare
Invia la tua segnalazione tramite il nostro modulo di contatto sicuro (seleziona "Sicurezza" come oggetto). Le segnalazioni vengono instradate a un canale privato e non sono mai visibili pubblicamente.
Confermeremo la ricezione della tua segnalazione entro 2 giorni lavorativi e ci impegniamo a fornire una correzione o una mitigazione entro 30 giorni, in base alla gravità.
Ti chiediamo di darci il tempo di affrontare il problema prima della divulgazione pubblica. Riconosceremo i ricercatori che seguono pratiche di divulgazione responsabile.
Preferisci l'e-mail? Puoi contattarci direttamente all'indirizzo security@zillasoft.io. Entrambi i canali conducono alla stessa casella di posta privata per la sicurezza.
Cosa verrà
Audit SOC 2 Tipo II
Pianificato dopo il lancio iniziale del prodotto. Il periodo di audit inizierà una volta che avremo una base di utenti stabile che giustifica il processo e i costi.
Verifiche di sicurezza di terze parti
Valutazioni di sicurezza indipendenti verranno pianificate come parte della roadmap di preparazione enterprise.
Supporto macOS
Snipzilla supporta attualmente Windows e Linux. Il supporto macOS è nella roadmap e sarà rilasciato una volta soddisfatti i requisiti di firma del codice e certificazione della piattaforma.
Audit di accessibilità di terze parti
È previsto un audit indipendente secondo WCAG 2.1 Livello AA per verificare formalmente i nostri impegni di accessibilità su tutti i prodotti e le proprietà web di ZillaSoft.
Gestore degli appunti Stashzilla
Un gestore degli appunti desktop incentrato sulla privacy per Windows e Linux, attualmente in sviluppo. Include una sovrapposizione di ricerca globale, tagging dei clip tramite IA e integrazione profonda con Snipzilla.
Modifiche a questa pagina
Potremmo aggiornare le nostre pratiche di sicurezza nel tempo.
Politiche correlate
Ultima revisione: 21 luglio 2026