Funzione della piattaforma
Sicurezza della piattaforma: cifratura, CSP e registri di controllo
I tuoi account pubblicitari, i dati del negozio e la fatturazione passano da questa piattaforma: per questo la sicurezza è progettata a ogni livello e documentata apertamente su /trust.
Una piattaforma di marketing concentra un potere insolito: accesso ai tuoi account pubblicitari, agli ordini e ai ricavi del negozio, alle conversazioni con i clienti e ai flussi di pagamento. Per questo il suo livello di sicurezza è una domanda di primo piano al momento dell'acquisto, non una nota a piè di pagina. BScale AI è costruito con una difesa a più livelli e il quadro completo è pubblicato apertamente nella pagina della fiducia.
In breve: autentichi le piattaforme tramite OAuth, così BScale AI non conserva mai le tue password; ogni token archiviato è cifrato con AES-256-GCM; le sessioni usano cookie con protezione CSRF; ogni pagina riceve una Content Security Policy per ogni richiesta; le API hanno limiti di frequenza; e l'attività degli account viene registrata in un registro di controllo a sola aggiunta che nessuno, amministratori compresi, può modificare di nascosto.
Credenziali cifrate e protezione dei token OAuth
BScale AI non chiede mai la password dei tuoi account Meta, Google, TikTok o LinkedIn. Le connessioni usano il flusso OAuth ufficiale di ciascuna piattaforma: accedi sulle pagine della piattaforma stessa, concedi permessi mirati e puoi revocarli in qualsiasi momento da entrambe le parti.
I token di accesso emessi da quelle piattaforme sono il bene più prezioso di qualsiasi strumento di marketing, perciò vengono cifrati con AES-256-GCM prima di essere archiviati. Anche in caso di accesso non autorizzato al database, i token non restano in chiaro in attesa di essere sottratti.
Sicurezza delle sessioni: cookie, CSRF e CSP per ogni richiesta
Le sessioni degli utenti usano cookie e sono protette dal cross-site request forgery, quindi un sito malevolo che ti capita di visitare non può inviare in silenzio richieste a BScale AI a tuo nome. È un attacco classico contro gli strumenti di marketing, in cui una richiesta contraffatta potrebbe avviare una spesa o alterare le campagne, ed è bloccato al confine della piattaforma.
Ogni pagina viene inoltre servita con una Content Security Policy per ogni richiesta. Invece di un'unica policy statica, ogni risposta porta con sé una CSP basata su nonce, che limita drasticamente ciò che potrebbero fare gli script iniettati anche se un contenuto malevolo arrivasse mai a una pagina. È una delle protezioni lato browser più solide che un'applicazione web possa adottare.
Limitazione delle richieste e registro di controllo a sola aggiunta
Tutte le API hanno limiti di frequenza, con soglie più severe per le operazioni sensibili. La limitazione smorza i tentativi di forza bruta, gli abusi degli endpoint AI e le automazioni fuori controllo, mantenendo la piattaforma stabile per tutti.
L'attività degli account viene scritta in un registro di controllo a sola aggiunta: si possono aggiungere voci, ma l'applicazione non ha alcun percorso per modificarle o eliminarle. Quando devi sapere chi ha fatto che cosa e quando - per una verifica di conformità, un'indagine su un incidente o una semplice questione di responsabilità nel tuo team - il registro è una traccia che non può essere stata riscritta di nascosto.
Una sicurezza che si estende a ruoli, fatturazione e approvazioni
La sicurezza non è solo crittografia: riguarda anche chi può fare che cosa. La condivisione dello spazio di lavoro usa un controllo degli accessi basato sui ruoli, applicato sul server a ogni richiesta, quindi un osservatore non potrà mai agire con i poteri di un manager. La fatturazione passa da PayPal con un registro dettagliato, così i movimenti di denaro sono verificabili. E nulla viene pubblicato sui tuoi account pubblicitari senza la tua approvazione esplicita, il che lascia il controllo alle persone sulle azioni che contano di più.
Il quadro completo e aggiornato della sicurezza - comprese le pratiche che adottiamo con l'evolversi della piattaforma - è documentato nella pagina pubblica della fiducia. Se la tua organizzazione ha un questionario sulla sicurezza, è da lì che conviene partire.
Domande frequenti
- Come conserva BScale AI le credenziali dei miei account pubblicitari?
- Non conserva affatto le tue password. Le piattaforme vengono collegate tramite i loro flussi OAuth ufficiali e i token di accesso che emettono sono cifrati con AES-256-GCM prima dell'archiviazione. Puoi revocare una connessione in qualsiasi momento da BScale AI o dalle impostazioni di sicurezza della piattaforma stessa.
- Che cos'è un registro di controllo a sola aggiunta e perché conta?
- È un registro di attività a cui l'applicazione può aggiungere voci ma che non può mai modificare né cancellare. La cronologia di chi ha fatto che cosa nel tuo account non può quindi essere riscritta di nascosto, un requisito essenziale per le indagini sugli incidenti, le verifiche di conformità e la semplice responsabilità all'interno di un team.
- Come previene BScale AI il cross-site request forgery (CSRF)?
- Le sessioni usano cookie e ogni richiesta che modifica lo stato è protetta da controlli CSRF, quindi un sito di terze parti malevolo non può indurre il tuo browser a inviare richieste a BScale AI a tuo nome, per esempio per alterare campagne o spendere budget.
- Che cos'è una Content Security Policy per ogni richiesta?
- Invece di un'unica policy di sicurezza statica per il browser, BScale AI genera una nuova Content Security Policy basata su nonce per ogni singola risposta di pagina. Questo limita drasticamente ciò che qualsiasi script iniettato potrebbe eseguire, offrendo una forte protezione contro gli attacchi di cross-site scripting.
- L'AI di BScale AI può agire sui miei account senza di me?
- No. L'AI prepara campagne, creatività e suggerimenti, ma nulla va online su Meta, Google Ads, TikTok o LinkedIn senza la tua approvazione esplicita. Insieme al controllo degli accessi basato sui ruoli applicato dal server, le persone mantengono il controllo di ogni azione importante.
- Dove posso leggere tutti i dettagli sulla sicurezza di BScale AI?
- La pagina pubblica della fiducia documenta il livello di sicurezza della piattaforma, comprese le connessioni basate su OAuth, la cifratura dei token AES-256-GCM, la protezione CSRF, la CSP per ogni richiesta, la limitazione delle richieste e il registro di controllo a sola aggiunta. È il punto di partenza giusto per qualsiasi verifica di sicurezza.
