EventPrint — la sicurezza, spiegata al negozio

Per chi decide se affidare a EventPrint le foto dei propri clienti. Niente gergo: per ogni misura c'è scritto cosa fa e perché l'abbiamo messa.

Il principio da cui nasce tutto è uno: ogni cosa preziosa sta in un posto solo, e quel posto è il più vicino possibile a te. Le foto originali restano nel tuo negozio. Il tuo spazio online è intestato a te. Le chiavi che aprono qualcosa stanno solo dove servono, e nessuna chiave apre tutto.

Le foto originali non escono mai dal negozio

Quando pubblichi un evento, online sale solo un'anteprima di ogni foto: al massimo 900 pixel di lato, compressa, circa il 5% del peso dell'originale. È quanto basta a un cliente per scegliere dal telefono, e non basta per stamparla. L'originale resta dov'era: sul tuo computer o sul tuo NAS.

Quando chiudi o cancelli l'evento, le anteprime online spariscono.

Perché. La cosa di maggior valore che hai sono le foto ad alta risoluzione. Se non sono mai online, nessun problema online può toccarle: né un accesso indebito, né un errore, né la chiusura del servizio.

Chi può vedere le foto di un evento

Il link da solo non basta. Ogni evento ha un codice d'accesso di sei caratteri, generato a caso, che il cliente inserisce una volta. Chi trova il link per caso vede solo il titolo dell'evento, non le foto. Il codice serve anche per ordinare. Se un link finisce dove non doveva, con un clic lo rigeneri e il vecchio smette di funzionare.
Niente motori di ricerca. Le gallerie, le foto e la vetrina dicono a Google e agli altri motori di non indicizzare nulla, e non passano l'indirizzo della pagina ai siti esterni. Le foto di una festa non compaiono in « Google Immagini ».
Filigrana col tuo logo, se la attivi: viene impressa nei pixel dell'anteprima, quindi anche uno screenshot la porta con sé. Online la versione pulita non esiste.
Deterrenti alla copia nella galleria: niente « Salva immagine », niente trascinamento, niente stampa; se la finestra perde il fuoco (ad esempio per lo strumento di cattura di Windows) le foto si sfocano.
Nell'app per i clienti (Android) lo screenshot è bloccato dal sistema: la cattura viene nera, anche in condivisione schermo.

Onestà su un punto. In una pagina web uno screenshot dal telefono non si può impedire: lo scoraggiamo, non lo blocchiamo. La difesa vera è che online ci sono solo anteprime piccole, con la tua filigrana se vuoi.

I dati sono tuoi: uno spazio online intestato al negozio

Il tuo spazio online (database, anteprime, galleria) vive in un account Cloudflare intestato a te, separato da quello di ogni altro negozio. Tu sei il titolare dei dati dei tuoi clienti; EventPrint è il programma che li usa.

Puoi scegliere fra due modi di conservare: online (anteprime e ordini restano nel tuo spazio per il tempo che serve, poi la copia online si cancella) oppure solo locale (il minimo indispensabile online, tutto il resto sul tuo computer).
Le credenziali tecniche del tuo spazio stanno in due posti, tutti e due cifrati: in un archivio dal fornitore, e sul computer del tuo negozio, dove arrivano insieme alla licenza. Servono a una cosa sola: accendere e aggiornare il tuo spazio senza doverti chiamare. Il fornitore non accede ai tuoi contenuti se non su tua richiesta di assistenza, e dal tuo pannello Cloudflare puoi revocare quel permesso quando vuoi.
Quelle credenziali viaggiano dentro una busta chiusa con il codice della tua licenza: chi trasporta la busta non può aprirla, viene consegnata una volta sola e poi cancellata dal server.
Se un giorno smetti di usare EventPrint, l'account resta tuo: lo spegni tu, e con lui spariscono i dati. Non è un'operazione che il programma può fare al posto tuo, ed è giusto così.

Perché. Con un unico grande archivio del fornitore, un problema da una parte sarebbe un problema per tutti. Con uno spazio per negozio, ogni negozio è un'isola: nessuna chiave di un negozio apre quello accanto.

La licenza è firmata, non si copia

Ogni licenza è un documento firmato digitalmente (firma Ed25519, la stessa famiglia usata da banche e sistemi operativi). Il programma la accetta solo se la firma torna: cambiare una data o un nome la rende invalida.

La chiave che firma le licenze sta solo dal fornitore, protetta da una password. Dentro il programma c'è solo la parte pubblica, che serve a verificare e non a firmare.
Il codice licenza è monouso: il primo che lo usa lo consuma, e un secondo tentativo viene rifiutato, anche se arriva nello stesso istante. È custodito sul servizio centrale del fornitore, non sul tuo spazio.
La licenza è legata al tuo spazio online: non funziona su quello di un altro negozio. Ha una scadenza, e alla scadenza le gallerie vanno offline da sole.
Chi ti ha dato la licenza può revocarla, e vale come una scadenza immediata: gallerie e ordini si fermano subito, il programma torna in prova, e quello che hai sul computer resta dove sta. Se la riattiva, riparte da solo. Un problema di rete non ha questo effetto: senza una risposta chiara dal servizio, il programma non tocca la tua licenza.

Le chiavi, ognuna al suo posto

Studio (il programma in negozio) ha solo la chiave del tuo negozio. Se mai trapelasse, chi la avesse potrebbe agire solo come quel negozio, e una nuova licenza la sostituisce in un attimo. La chiave che governa l'intero account non è mai nel programma.
I segreti salvati sul computer (la chiave che protegge le foto scambiate con l'app, i dati di migrazione) sono cifrati da Windows stesso, legati a quell'utente e a quel PC: copiare il file su un altro computer non serve a niente.
Il backup di Studio è un unico file cifrato con una password che scegli tu, con una derivazione di chiave da 200 000 giri: senza password non si apre. Vale anche il contrario: se perdi la password, il backup è perso.
Il diario del programma, che serve all'assistenza, non contiene mai chiavi né dati dei clienti, e si cancella da solo dopo 14 giorni. Quando lo mandi all'assistenza viaggia cifrato: lo apre solo chi ti ha dato la licenza.

Il portale del laboratorio

Il portale dove il laboratorio vede gli ordini mostra i contatti dei clienti, quindi è protetto come un servizio bancario di base:

password di almeno 8 caratteri, conservata solo come impronta (PBKDF2, 100 000 giri): nessuno, nemmeno noi, può leggerla;
sessione che scade dopo 8 ore, con un cookie che il browser non espone agli script e che viaggia solo su connessione cifrata;
freno ai tentativi: dopo 10 password sbagliate dallo stesso indirizzo in 15 minuti si aspetta. Il freno è fatto in modo che non possa mai chiudere fuori il titolare che conosce la password giusta;
cambiare la password chiude da sola tutte le sessioni aperte.

Ordini e clienti

I prezzi li decide il tuo listino sul server, non la pagina nel telefono del cliente: manomettere la pagina non cambia il conto.
Prima di ordinare il cliente accetta la dichiarazione di responsabilità sulle foto; senza, l'ordine non viene registrato.
L'indirizzo internet del cliente non viene mai salvato in chiaro: solo un'impronta, che basta a contare e a frenare gli abusi, ma non permette di risalire alla persona.
I « mi piace » sulle foto sono conteggi aggregati: nessun dato personale.
Le comunicazioni con l'assistenza contengono solo il testo che scrivi, la versione del programma e il nome del negozio.

Contro gli abusi

Ogni richiesta al server passa da un cancello: per pubblicare o leggere gli ordini serve la chiave del negozio; per il resto ci sono limiti per ora e per indirizzo (ordini, richieste di licenza, messaggi all'assistenza).
Ogni operazione sul database usa istruzioni preparate: i dati inseriti dagli utenti non possono diventare comandi.
I file di esportazione degli ordini sono protetti da un trucco noto: formule nascoste in un foglio di calcolo non vengono eseguite.
Ogni negozio vede solo i suoi eventi. Un programma che tentasse di toccare l'evento di un altro negozio riceve un rifiuto, e questo caso è provato da un test automatico a ogni modifica del programma.

Come lo verifichiamo

Le regole scritte qui sopra non sono solo promesse: sono test automatici che girano a ogni modifica del software. Se qualcuno, anche noi, smontasse per sbaglio una di queste protezioni, il test si accende di rosso e la versione non esce. Fra i casi provati: l'isolamento fra negozi, il codice di attivazione monouso, l'esclusione dai motori di ricerca, la cifratura dei segreti sul computer, il rifiuto dei file di backup manomessi.

Esiste anche un documento interno, « Pensare al peggio », in cui per ogni disastro possibile (computer rubato, link finito dove non doveva, chiave smarrita) è scritto in anticipo cosa succede e cosa si fa.

Cosa chiediamo a te

La sicurezza è a metà: l'altra metà è tua.

Scegli password buone per il portale e per il backup, e conserva la password del backup in un posto sicuro.
Custodisci le credenziali del tuo account Cloudflare come quelle della banca.
Non pubblicare il codice d'accesso di un evento in luoghi aperti: consegnalo ai partecipanti.
Fai il backup con regolarità: Studio te lo ricorda, ma lo fai tu.
Consegna ai clienti l'informativa e la liberatoria: nel programma trovi i modelli già pronti.

Ultimo aggiornamento: settembre 2026. Se hai una domanda su un punto di questa pagina, scrivila dall'assistenza dentro Studio: risponde chi ha scritto il programma.