Livello API: Tutti i corpi delle richieste REST e i parametri di percorso vengono verificati tramite convalida dello schema. Le richieste non valide vengono rifiutate prima di raggiungere la logica di business.

Livello database: Solo query parametrizzate — nessuna concatenazione di stringhe, nessun SQL grezzo. Questo previene le SQL injection per progettazione.

Livello WAF: Il tipo di contenuto JSON è imposto sulle richieste API. Gli schemi di injection noti vengono bloccati automaticamente.

Livello frontend: Auto-escaping di Vue 3 nei template. Gestione sicura del DOM per contenuti HTML (nessun inserimento diretto di HTML grezzo).

Upload di file: Controllo delle dimensioni e del tipo — il tipo di file viene rilevato dal contenuto del file, mai dal nome; archivi, cartelle e caselle di posta, se abilitati per il tuo spazio di lavoro, vengono estratti con limiti rigidi (al massimo 500 voci per archivio, al massimo 100 volte la dimensione dell’archivio ma sempre almeno 32 MB, e al massimo 8 GB estratti, nessun singolo file superiore a 2 GB) e le pagine web e l’XML vengono renderizzati senza alcun accesso alla rete.

Gestione degli errori: I messaggi di errore non contengono stack trace o dettagli interni. I codici 404 e 403 sono restituiti senza corpo. I report di errore sono automaticamente ripuliti da dati personali identificabili (PII).