L'agente di sicurezza
L'agente di sicurezza si occupa della sicurezza del tuo progetto. Controlla il codice del sito dopo ogni pubblicazione e l'intero sito ogni settimana, ti dice con parole semplici cosa ha trovato e cosa fare dopo, e chiede al Builder di correggere ciò che approvi. Non modifica mai il tuo sito da solo e non vede mai il valore di una chiave.
Cosa controlla
La maggior parte di ciò che controlla è fatta dai controlli di Briks, che leggono il tuo sito sempre allo stesso modo e non costano crediti. L'agente legge poi solo dove punta un controllo, decide se il risultato è reale e te lo spiega.
| Area | Cosa viene controllato |
|---|---|
| Il codice del tuo sito | Chiavi scritte nei file, modifiche ai tuoi dati senza limite alla frequenza con cui si possono fare, record dei membri letti senza verificare chi lo chiede, testo mostrato come HTML grezzo, chiamate ad altri siti web e percorsi mancanti nell'elenco del sito su chi può usare ciascuno. |
| Chiavi | Ogni chiave che il tuo codice legge e che non è impostata in Settings → Secrets, e ogni chiave impostata lì che ormai nulla legge più. Solo nomi: l'agente non vede mai un valore. |
| Il sito online | Se ogni indirizzo risponde in https e se il semplice http viene reindirizzato lì, quanti giorni restano al certificato, gli header di sicurezza, il cookie di accesso, se altri siti web possono usare l'API del tuo sito come visitatore connesso, i file che non dovrebbero mai essere scaricabili e le pagine di errore che mostrano come funziona il sito al suo interno. |
| Per un dominio da cui invii email tu stesso: i suoi record SPF, di firma (DKIM) e DMARC. | |
| File e moduli | File nelle cartelle pubbliche di Storage con nomi che sembrano privati, come backup, fattura, passaporto o contratto, e un'impennata improvvisa di invii dei moduli rispetto a un giorno normale. |
| Pacchetti | Avvisi di sicurezza noti per i pacchetti che il tuo sito ha in più rispetto a quelli con cui parte ogni sito, da un database pubblico di avvisi. |
| Uno sguardo più da vicino | Una volta al mese legge le parti del sito che gestiscono accesso, denaro, file caricati o una funzione di IA, partendo da quelle cambiate dall'ultima volta che le ha guardate. |
Quando viene eseguito
- Dopo ogni pubblicazione. I controlli sul codice e sulle chiavi vengono eseguiti sulla versione appena andata online, così come è stata salvata, subito e senza costi. L'agente vero e proprio si attiva solo quando trovano qualcosa di nuovo, o quando una correzione che ha richiesto è andata online e va verificata.
- Ogni settimana, il lunedì mattina nel fuso orario del tuo spazio di lavoro: tutti i controlli, compreso il sito online, e un breve rapporto.
- When you write to it nella sua conversazione, ad esempio per chiedere se un nuovo modulo è sicuro da mettere online.
I problemi urgenti, come una chiave scritta in una pagina o un file privato che chiunque può scaricare, ti arrivano subito: nella campanella e nelle tue chat Telegram che hanno attivato Urgent security findings negli avvisi.
Come leggere il report
Trova il report
Apri Agents
Dove: Agents
Scegli il progetto, poi l'agente Security nella scheda Crew.
Apri la scheda Security report
Dove: Security report
I problemi trovati sono raggruppati per gravità: urgente, alta, media e bassa. Il numero sulla scheda indica quanti aspettano te.
Leggere ogni problema trovato
Ognuno dice cosa potrebbe fare qualcuno, cosa significa per la tua attività e il passo successivo: qualcosa che solo tu puoi fare (con l'indicazione di dove farlo), una correzione che il Builder può fare, oppure una nota che Briks se ne sta già occupando.
Controlla gli elenchi ripiegati
I rischi che hai accettato, ciò che è stato controllato ed è risultato a posto e ciò che è stato corretto negli ultimi 30 giorni sono raccolti in fondo.
Worth checking elenca ciò che dipende da qualcosa che solo tu puoi vedere, come un file in una cartella Storage pubblica il cui nome sembra privato. Dice esattamente cosa controllare e dove. Le segnalazioni che aspettano te compaiono anche sotto Waiting for you, accanto a ciò che chiedono gli altri agenti.
Fix it e Accept the risk
Far correggere un problema al Builder
Scegli Fix it
Dove: Security report
La conferma mostra quanti crediti costa di solito una modifica e quanti ne hai. Premi Send to the Builder.
Approvala
Dove: Waiting for you
La correzione aspetta in Waiting for you, nella tua email e su Telegram, come ogni modifica richiesta da un agente. Puoi leggerla, cambiarne le parole, approvarla o rifiutarla.
Il Builder fa la modifica
Una volta approvata, viene creata, controllata e pubblicata come nuova versione, che puoi annullare dall'elenco delle versioni.
L'agente controlla di nuovo
Quando la nuova versione va online, i controlli vengono rieseguiti e il risultato è segnato come risolto quando non c'è più.
Accept the risk serve per un problema con cui hai deciso di convivere, spesso perché deriva da qualcosa che hai chiesto tu, come un file in una cartella pubblica di Storage che intendi condividere. La tua scelta viene conservata con il tuo nome e la data, e l'agente non la segnala di nuovo, a meno che non peggiori.
Cosa non fa mai
- Non modifica mai il tuo sito da sola. Ogni correzione è una modifica che approvi tu, sempre, fatta dal Builder, con possibilità di annullare.
- Non propone mai di annullare qualcosa che hai chiesto tu. Quando una tua scelta comporta un rischio, lo dice una volta sola e lascia a te la decisione.
- Non chiede, non legge e non ripete mai il valore di una chiave. Lavora solo con i nomi delle chiavi.
- Non cerca mai di entrare con la forza. Sul sito online fa solo le semplici richieste che fa il browser di un visitatore, al massimo 25 per controllo, verso gli indirizzi del tuo stesso sito.
- Non legge mai uno per uno i dati dei tuoi clienti. Li conta, e ne nomina uno solo quando un problema lo richiede.
Budget e crediti
I controlli in sé non costano nulla. Ciò che l'agente spende è la lettura e la scrittura che fa per spiegare un risultato e formulare una correzione, pagate con i crediti del tuo spazio di lavoro entro il suo budget mensile: 20 crediti di default, che puoi cambiare nelle sue impostazioni, con un quinto disponibile ogni giorno. Chiede al massimo due correzioni per esecuzione, le più gravi per prime, e ogni correzione è una normale modifica con la sua stima in crediti.
Può risolvere le cose senza chiedermelo?
No. Le correzioni di sicurezza aspettano sempre la tua approvazione, e le sue impostazioni lo dicono al posto dell'interruttore che hanno gli altri agenti. Ogni correzione aspetta sotto Waiting for you con la sua stima in crediti e, quando la approvi, viene pubblicata come nuova versione che puoi annullare.
Perché dice che Briks se ne sta già occupando?
Alcuni risultati riguardano il modo in cui vengono serviti tutti i siti, come un header di sicurezza o il certificato. Briks li corregge per tutti i siti in una volta, quindi non c'è nulla da fare per te o per il Builder.
Segnalerà di nuovo un rischio che ho accettato?
Solo se la situazione peggiora. Nemmeno un problema che ha verificato e che non è un rischio reale viene segnalato di nuovo.