Il servizio

Secure File Platform

Una piattaforma SaaS per trasferire, condividere e controllare file tramite browser e SFTP.

Il percorso di ogni richiesta

Browser → Reverse Proxy / WAF → Backend API → Security Layer → Storage / SFTP Gateway → Server SFTP.

Flusso: Browser, poi Reverse proxy / WAF, poi Backend API, poi Security layer, poi Storage / SFTP gateway, poi Server SFTP. Servizi interni del backend: PostgreSQL, Redis + BullMQ, ClamAV, Secret manager.

Il percorso di ogni file

UPLOADING → UPLOADED → PENDING_SCAN → SCANNING → CLEAN. Il file è disponibile solo quando è CLEAN; altrimenti resta INFECTED, QUARANTINED, SCAN_FAILED o BLOCKED.

  1. UPLOADING

    chunk ripristinabili, SHA-256 per chunk

  2. UPLOADED

    area temporanea noexec, fuori webroot

  3. PENDING_SCAN

    magic number, MIME reale, quota

  4. SCANNING

    clamd INSTREAM, limiti anti archive-bomb

  5. CLEAN

    solo ora: storage definitivo / SFTP

INFECTED → QUARANTINED

blocco download e condivisioni, alert, audit

SCAN_FAILED

ClamAV giu', timeout, firme assenti: resta bloccato

BLOCKED

cifrato o oltre i limiti: BLOCK / QUARANTINE / ADMIN_APPROVAL

Come protegge i tuoi file

  • Il browser non parla con l’SFTP

    Il browser comunica solo con le API via HTTPS. Il collegamento ai server SFTP lo apre il backend, dopo i controlli di sicurezza.

  • Credenziali SSH mai esposte

    Chiavi e password dei server SFTP stanno nel secret manager e sono usate solo dal backend; l’host key del server è verificata (niente attacchi man-in-the-middle).

  • Checksum SHA-256

    Ogni blocco e ogni file hanno un’impronta SHA-256 verificata in caricamento e disponibile al download.

  • Verifica del tipo reale

    Il tipo del file è riconosciuto dal contenuto (magic number), non dall’estensione: un eseguibile travestito da PDF viene bloccato.

  • Scansione antivirus

    ClamAV analizza ogni file prima che sia disponibile. Se l’antivirus non risponde, il file resta bloccato (fail closed).

  • Quarantena

    I file infetti vanno in un’area separata, senza esecuzione, con avviso alla sicurezza e blocco di download e condivisioni.

  • Audit

    Ogni azione è registrata in un registro append-only con catena di hash: chi, cosa, quando, da dove, con quale esito.

  • MFA

    Verifica in due passaggi (TOTP) con codici di recupero, configurabile per piattaforma, organizzazione, utente e cartella.

  • Ruoli e permessi

    Ruoli predefiniti (dall’amministratore al visualizzatore) e permessi per singola cartella: carica, scarica, gestisci, condividi.

  • Isolamento tenant

    Ogni organizzazione è isolata nel database con Row Level Security: un utente non può vedere i dati di un’altra.

  • Retention

    Conservazione configurabile per file, log, sessioni e audit; cestino con ripristino; legal hold.

  • Security Center

    Eventi di sicurezza, tentativi di accesso falliti, blocchi IP, stato di antivirus e servizi.

Storage, traffico e banda: tre cose diverse, tutte chiare nel preventivo.

Storage = spazio occupato · Traffico = dati trasferiti nel mese (upload + download) · Banda = velocità massima.

Calcola il preventivo