Autenticazione e sicurezza
Politica delle password, blocco account, MFA obbligatoria, durata delle sessioni, SSO e gestione completa delle chiavi API con rotazione.
Questa pagina descrive i controlli di sicurezza dell'accesso al tenant: credenziali, secondo fattore, sessioni e chiavi API.
Prima di iniziare
- Ruolo Amministratore o Proprietario
- MFA attiva sul tuo account
- Un vault aziendale per la custodia delle chiavi API
Politica delle password
| Requisito | Valore predefinito | Modificabile |
|---|---|---|
| Lunghezza minima | 12 caratteri | Sì, minimo consentito 12 |
| Almeno una lettera maiuscola | Obbligatorio | Sì |
| Almeno un numero | Obbligatorio | Sì |
| Almeno un simbolo | Obbligatorio | Sì |
| Riutilizzo delle password precedenti | Ultime 5 bloccate | Sì, fino a 24 |
| Scadenza password | Disattivata | Sì, da 30 a 365 giorni |
| Blocco delle password compromesse | Attivo | Sì |
| Algoritmo di hashing | Argon2id | No |
Perché la scadenza è disattivata
Le linee guida internazionali attuali sconsigliano la scadenza periodica obbligatoria: spinge gli utenti verso varianti prevedibili. È preferibile imporre password lunghe, verificare che non compaiano in violazioni note e attivare la MFA.
Le password sono protette con Argon2id (64 MB di memoria, 3 iterazioni, 4 thread), un algoritmo resistente agli attacchi con hardware dedicato. Il valore in chiaro non è mai memorizzato né registrato nei log.
Blocco dell'account
| Impostazione | Valore predefinito | Effetto |
|---|---|---|
| Tentativi falliti consentiti | 5 | Conteggiati su finestra di 15 minuti |
| Durata del blocco | 15 minuti | Crescente a ogni blocco successivo |
| Blocco per indirizzo IP | Attivo | Limita gli attacchi distribuiti |
| Notifica all'utente | Attiva | Email di avviso al superamento dei tentativi |
| Notifica agli amministratori | Attiva sopra 20 tentativi | Segnala possibili attacchi mirati |
Sbloccare un utente
Apri Tenant → Utenti, seleziona l'account e fai clic su Sblocca. Prima di procedere verifica con la persona che i tentativi siano riconducibili a lei.
Verificare l'origine
Consulta l'audit log filtrando su
identity.login.failed per vedere indirizzi IP e user agent dei tentativi.
MFA obbligatoria per ruolo
| Impostazione | Descrizione |
|---|---|
| MFA obbligatoria per tutti | Nessun accesso senza secondo fattore |
| MFA obbligatoria per ruolo | Selezione dei ruoli soggetti all'obbligo |
| Periodo di adeguamento | Da 0 a 30 giorni per configurare la MFA dal momento dell'attivazione |
| Metodi consentiti | App TOTP (consigliata), codici di recupero |
Obbligo minimo consigliato
Attiva la MFA obbligatoria almeno per Proprietario, Amministratore e per ogni ruolo con
permessi :delete o identity:apikeys:write. Sono gli account il cui compromesso ha impatto
massimo sul tenant.
Gli utenti configurano il secondo fattore dalle proprie
Preferenze. Un amministratore con identity:users:reset_mfa può
azzerare la MFA di un utente che ha perso il dispositivo: l'operazione richiede riautenticazione
ed è registrata nell'audit log.
Sessioni e token
| Parametro | Valore predefinito | Intervallo configurabile |
|---|---|---|
| Durata del token di accesso | 15 minuti | Da 5 a 60 minuti |
| Durata del refresh token | 30 giorni | Da 1 a 90 giorni |
| Durata massima assoluta della sessione | 90 giorni | Da 7 a 365 giorni |
| Disconnessione per inattività | 8 ore | Da 30 minuti a 30 giorni |
| Sessioni simultanee per utente | 5 | Da 1 a 20 |
| Riautenticazione per azioni sensibili | Attiva | Non disattivabile |
Il token di accesso è un JWT firmato con chiave RSA e contiene identificativo utente, tenant, ruolo e permessi. Il rinnovo avviene in modo trasparente tramite refresh token, finché non scade la durata massima assoluta.
Revocare le sessioni di un utente
Apri Tenant → Utenti → Apri utente → Revoca sessioni. Tutti i token dell'utente diventano inutilizzabili entro pochi secondi.
Revocare tutte le sessioni del tenant
Da Tenant → Sicurezza → Revoca tutte le sessioni. Usa questa azione solo in caso di incidente di sicurezza: tutti gli utenti dovranno autenticarsi di nuovo.
Impatto operativo della revoca globale
La revoca globale interrompe le conversazioni in corso gestite dagli operatori. Concordala con i responsabili di servizio e comunicala prima dell'esecuzione, salvo emergenza conclamata.
Single Sign-On
Blu Pantheon supporta SAML 2.0 e OpenID Connect per l'integrazione con Microsoft Entra ID, Google Workspace e altri provider di identità aziendali. La configurazione, il provisioning automatico degli utenti e la mappatura dei gruppi sono descritti in Integrazioni → SSO.
SSO e MFA
Con SSO attivo il secondo fattore è gestito dal provider di identità. La MFA interna di Blu Pantheon resta disponibile per gli utenti esclusi dal SSO, ad esempio gli account di emergenza.
Chiavi API
Le chiavi API autenticano automazioni, integrazioni e robot software. Sono associate a un utente di servizio e ne ereditano i permessi.
Creare una chiave
Assegna nome e ambiente
Usa un nome che identifichi sistema e ambiente, ad esempio crm-sincronizzazione-clienti-prod.
Seleziona l'ambiente Produzione o Test: il prefisso della chiave cambia di conseguenza.
Collega l'utente di servizio
Seleziona l'utente di servizio con il ruolo corretto. La chiave non può avere permessi diversi da quelli del suo utente.
Limita gli indirizzi IP
Nel campo IP consentiti inserisci gli indirizzi o le reti CIDR da cui la chiave può essere
usata, ad esempio 93.184.216.0/24. È il controllo più efficace contro l'uso di chiavi trafugate.
Imposta la scadenza
Da 30 giorni a 12 mesi. Le chiavi senza scadenza non sono consentite in produzione.
Copia e custodisci il valore
Il valore completo è mostrato una sola volta. Salvalo immediatamente nel vault aziendale.
Valore della chiave API
bp_live_••••••••••••••••Mostrato una sola volta alla creazione. Non recuperabile: se lo perdi devi generare una nuova chiave.
| Prefisso | Ambiente | Note |
|---|---|---|
bp_live_ | Produzione | Opera su dati reali |
bp_test_ | Test | Ambiente isolato, dati non fatturati |
Nella Console resta visibile solo il prefisso identificativo (ad esempio bp_live_a1b2c3):
il valore completo è conservato come hash SHA-256 e non è ricostruibile.
/identity/v1/api-keysBearer JWTElenca le chiavi del tenant con prefisso, utente di servizio, scadenza e ultimo utilizzo.
Richiede identity:apikeys:read.
Usare una chiave
Invia la chiave nell'intestazione Authorization di ogni richiesta.
curl -X GET "https://api.blupantheon.com/identity/v1/users" \
-H "Authorization: Bearer bp_live_xxxxxxxxxxxxxxxx" \
-H "X-Tenant-Slug: acme-srl"Non esporre mai le chiavi lato client
Una chiave API non deve comparire in codice front-end, applicazioni mobili, repository Git, ticket di assistenza o screenshot. Chiama sempre le API da un componente server sotto il tuo controllo. Vedi il Riferimento API.
Ruotare una chiave senza interruzioni
Crea la nuova chiave
Genera una seconda chiave con lo stesso utente di servizio e le stesse limitazioni IP. Nomina la
chiave includendo la data, ad esempio crm-sincronizzazione-clienti-prod-2026-09.
Distribuisci il nuovo valore
Aggiorna il vault e la configurazione del sistema consumatore. Entrambe le chiavi sono valide contemporaneamente: non c'è interruzione di servizio.
Verifica il passaggio del traffico
In Tenant → Sicurezza → Chiavi API controlla la colonna Ultimo utilizzo. Attendi che la chiave vecchia non registri più chiamate per almeno 24 ore.
Disattiva la chiave precedente
Usa Sospendi invece di Revoca: se un sistema dimenticato smette di funzionare puoi riattivarla in un istante.
Revoca definitivamente
Trascorsi 7 giorni senza incidenti, revoca la chiave sospesa. La revoca è immediata e irreversibile.
Stati di una chiave
| Stato | Chiamate accettate | Reversibile |
|---|---|---|
| Attiva | Sì | — |
| Sospesa | No | Sì |
| Scaduta | No | No, va creata una nuova chiave |
| Revocata | No | No |
Passi successivi
Ruoli e permessi
Modello RBAC di Blu Pantheon — formato dei permessi, matrice completa ruolo per permesso, ruoli personalizzati e propagazione delle modifiche.
Fatturazione
Piani e limiti, consumi e soglie, upgrade e downgrade, metodi di pagamento, dati fiscali italiani con SDI e PEC, scadenze, sospensione e disdetta.