La fiducia è un meccanismo,
non un badge.

Risposte ancorate al catalogo

Il catalogo è la fonte di verità.

Il server recupera i prodotti candidati prima che il modello venga eseguito. Il modello può selezionare solo ID da quell’insieme. Gli ID non validi vengono scartati e prezzo, giacenza, varianti e offerte sono visualizzati lato server. Se il catalogo non ha una risposta, l’assistente lo dice e propone il passaggio a un operatore.

Credenziali a riposo

I segreti sono cifrati, vincolati e versionati.

Le credenziali dei provider usano AES-256-GCM con un IV casuale di 96 bit per record. I dati autenticati aggiuntivi legano il testo cifrato a provider:{providerId}:account:{accountId}:credentials, così un record copiato su un altro tenant non si decifra. keyVersion supporta la rotazione delle chiavi; una decifratura fallita si chiude in modo sicuro invece di restituire un segreto.

Richieste Salewise

Firmate, non solo token bearer.

Le richieste all’API principale di Salewise portano una firma HMAC-SHA256 su metodo, percorso, timestamp, nonce e SHA-256 del corpo. La firma viene confrontata in tempo costante ed è limitata da una finestra anti-replay. La chiave principale è lato server, configurata una volta, cifrata a riposo e mai restituita a un browser.

Account e ruoli

Un account commerciante non è un amministratore del server.

Sage ha ruoli commerciante e amministratore del server. Le password usano scrypt con salt per account. I token di accesso scadono dopo 15 minuti; i refresh token sono conservati come hash, ruotati a ogni utilizzo e scadono dopo 30 giorni. Gli inviti scadono dopo 7 giorni e sono vincolati all’email invitata.

Isolamento dei tenant

Una ricerca di negozio è una verifica di proprietà.

Ogni rotta del negozio risolve il negozio e verifica che appartenga all’account autenticato prima di restituire dati. I metodi del repository sono limitati per account e negozio, e l’SQL resta dietro il livello repository anziché nei gestori delle rotte.

Dati carta

Nessun pagamento, nessun PAN.

Salewise non prende pagamenti e non conserva dati carta. La PWA per il cliente non ha una cassa e la transazione resta nel POS del commerciante. Non dichiariamo un perimetro PCI DSS per i pagamenti con carta perché non elaboriamo pagamenti con carta.

Conservazione

Configurata, non indefinita.

L’installazione di riferimento è configurata per 180 giorni per le trascrizioni delle sessioni e 365 giorni per i registri degli eventi, impostati tramite ambiente e DPA. La conservazione specifica del commerciante è concordata nel DPA e la cancellazione viene gestita su richiesta. Oggi non dichiariamo l’esecuzione di una cancellazione automatica pianificata.

Registro di audit

Gli eventi rilevanti per la sicurezza lasciano una traccia.

Registrazione, accesso, accesso fallito, inviti, configurazione e modifiche alle credenziali di integrazione vengono scritti in un registro di audit. Le email sono sottoposte a hash nei dettagli di audit anziché conservate in chiaro. Il registro è interno oggi; non esiste ancora una schermata di audit per il commerciante.

Confine del modello

Il modello riceve il minimo necessario.

Il modello riceve la domanda del cliente, i candidati recuperati dal catalogo, le impostazioni del negozio e il testo delle politiche pertinenti. Non riceve password, credenziali API o dati carta e non ha strumenti in grado di scrivere sul POS.

«Realizzato» significa che il controllo esiste oggi nel prodotto. Non significa che ogni controllo sia stato verificato da un revisore indipendente. Le lacune sono elencate in fondo a questa pagina.