Livello API: Tutti i corpi delle richieste REST e i parametri di percorso vengono verificati tramite convalida dello schema. Le richieste non valide vengono rifiutate prima di raggiungere la logica di business.

Livello database: Solo query parametrizzate — nessuna concatenazione di stringhe, nessun SQL grezzo. Questo previene le SQL injection per progettazione.

Livello WAF: Il tipo di contenuto JSON è imposto sulle richieste API. I modelli di injection noti vengono bloccati automaticamente.

Livello frontend: Auto-escaping di Vue 3 nei template. Gestione sicura del DOM per contenuti HTML (nessuna inserzione diretta di HTML grezzo).

Upload di file: Controllo delle dimensioni e convalida del tipo di contenuto durante l’upload dei documenti.

Gestione degli errori: I messaggi di errore non contengono stack trace o dettagli interni. I codici 404 e 403 sono restituiti senza corpo. I report di errore sono automaticamente ripuliti da dati personali identificabili (PII).