La maggior parte delle violazioni nasce da basi lasciate non configurate. Haloo le gestisce di default, senza essere esperti.
La sicurezza di un sito non dovrebbe essere un progetto a parte. In Haloo le misure importanti sono attive dal primo momento, senza configurazione.
Cosa è attivo di default
- CSRF su ogni azione del pannello, con token validato a ogni scrittura.
- Password bcrypt con cost 12.
- Passkey (WebAuthn) — accesso senza password, con impronta o Face ID.
- Segreti cifrati at rest con libsodium: la tua chiave IA non è in chiaro.
- Sanificazione HTML sui contenuti utente, con allowlist di tag rigorosa.
- Protezione SSRF all'import del design e anti zip-slip al ripristino dei backup.
Una superficie d'attacco piccola
Senza plugin di terze parti nel percorso critico, la superficie d'attacco è molto più piccola di un CMS con decine di estensioni. Meno codice altrui = meno sorprese.
Un audit di sicurezza dedicato ha attraversato il codice e portato a 12 correzioni applicate — documentate, non solo promesse.
Cosa resta a te
La tecnologia ti porta lontano, ma alcune cose restano tue: eliminare install.php dopo il setup, tenere una copia di secret-key.bin separata dai backup e usare HTTPS. Haloo te lo ricorda per ciascuna nel pannello.
In conclusione
La sicurezza non dovrebbe essere difficile — dovrebbe essere il default. Haloo alza le barriere importanti dal primo momento, così pensi ai contenuti, non alle falle.
