Sicurezza

1. Hosting e cifratura

QR Wait gira sulla rete di Cloudflare (Workers e Durable Objects) e vi conserva i suoi dati. Ogni connessione è cifrata con HTTPS (TLS), e ai browser viene indicato di usare solo HTTPS su qrwait.app e su tutti i suoi sottodomini (HSTS, un anno).

Le pagine applicano una rigorosa Content Security Policy: gli script si caricano solo da QR Wait e da Cloudflare, e nessun altro sito può mostrare QR Wait all'interno di un frame.

Cloudflare dichiara di disporre delle validazioni ISO/IEC 27001, ISO/IEC 27701 e ISO/IEC 27018 (Cloudflare Trust Hub). Sono di Cloudflare; QR Wait non ha alcuna certificazione propria.

2. Account e accesso

• Le password sono conservate solo come hash PBKDF2-SHA-256 con salt. Una nuova password presente in violazioni di dati note viene rifiutata; per questo controllo escono da QR Wait solo i primi 5 caratteri del suo hash SHA-1 (k-anonimato).
• Accesso in due passaggi con un'app di autenticazione (TOTP) e codici di recupero monouso. I titolari vedono quali membri del team l'hanno attivato.
• I membri del team hanno un ruolo (titolare, responsabile o operatore) e, se limitati, aprono solo le code che sono state loro assegnate.
• Dopo 5 accessi falliti a un account in 24 ore, per entrare serve anche un controllo anti-bot (Cloudflare Turnstile).
• Quando si accede all'account da un nuovo browser parte un'e-mail.
• Una sessione termina dopo 14 giorni di inutilizzo; cambiare la password o «Esci dagli altri dispositivi» chiude tutte le altre.
• I link di verifica, di reimpostazione della password e di invito sono monouso, e se ne conservano solo gli hash.

3. Limiti di richieste

Le richieste sono limitate per indirizzo IP ai margini della rete Cloudflare: accesso, registrazione e reimpostazione della password 10 al minuto, ingresso in una coda 60 al minuto, l'API REST 120 al minuto per chiave e 120 al minuto per indirizzo IP.

4. Dati dei visitatori

• Ai visitatori non vengono mai chiesti numero di telefono o indirizzo e-mail. Il nome viene chiesto solo se l'attività lo attiva per la coda.
• Un ticket, con il nome e le risposte al modulo che contiene, viene cancellato al più tardi 24 ore dopo l'ingresso in coda, qualunque siano le impostazioni della coda.
• Nessuna posizione viene conservata. Quando una coda controlla la posizione, insieme al ticket restano solo la distanza dalla coda e il momento della misurazione.
• Il codice QR mostrato sullo schermo dell'operatore cambia ogni 15–75 secondi e ogni codice vale da 1 a 5 minuti, quindi una foto condivisa altrove non fa entrare nessuno.
• Ciò che gli operatori fanno nel pannello viene registrato per 30 giorni; i link degli operatori si possono revocare in qualsiasi momento.

5. Backup

Ciò che non si può ricostruire (account, impostazioni delle code, saldi dei ticket) viene esportato ogni giorno su Cloudflare R2 e cifrato prima della scrittura: ogni parte con una propria chiave AES-256-GCM, a sua volta cifrata con una chiave pubblica (RSA-OAEP). La chiave privata che li apre è conservata offline. Le esportazioni sono conservate per 35 giorni.

I ticket non sono mai in un backup: contengono nomi di visitatori e durano al massimo un giorno.

6. Integrazioni

• I webhook sono firmati con un segreto mostrato una sola volta (HMAC-SHA256 con marca temporale) e vanno solo a indirizzi https pubblici. Contengono solo numeri e orari, a meno che l'attività non consenta i nomi per un indirizzo.
• Le chiavi API sono mostrate una volta e conservate solo come hash SHA-256. Una chiave legge soltanto oppure scrive anche, e si può revocare in qualsiasi momento.
• Dettagli per sviluppatori: il riferimento di API e webhook (in inglese).

7. Sub-responsabili

Queste aziende trattano dati per conto di QR Wait per far funzionare il servizio:

Le notifiche del browser passano dal servizio push del browser del visitatore. Come i dati escono dalla Turchia e dall'UE è spiegato nell'informativa sulla privacy.

8. Segnalare una vulnerabilità

Scrivete a hello@qrwait.app con oggetto «Security». Confermiamo la ricezione entro 3 giorni lavorativi e inviamo una prima valutazione entro 10 giorni lavorativi. Non rendete pubblico il problema finché non è risolto e fate prove solo con i vostri account e le vostre code.

Non intraprenderemo azioni legali contro ricerche che seguono queste regole in buona fede. Non esiste un programma di ricompense a pagamento. Lo stesso contatto, leggibile dalle macchine: security.txt.