Avonao ID è l’unico account con cui le persone accedono alle piattaforme Avonao e a ogni app che offre Sign in with Avonao ID. Questa pagina spiega come funziona, cosa proteggiamo e come, dove stanno i tuoi dati e a cosa ci impegniamo. Ogni affermazione rimanda al documento che la vincola.
Gestito da Avonao, Inc., DelawareI documenti legali sono pubblicati come bozze, in attesa di revisione legale.
Crea il tuo account in un minuto con una passkey, poi collega le piattaforme che usi.
Ogni accesso segue lo stesso percorso. La persona è verificata dal servizio di ingresso, la richiesta è gestita nella regione che conserva i suoi dati e il token è firmato con una chiave pubblicata, che chiunque può verificare.
La persona accede con una passkey, un link o un codice ricevuto via email, oppure con Google, Microsoft o GitHub. Non ci sono password. I token di sessione, i token dei link e i codici sono conservati solo come hash SHA-256.
La regione si ricava dalla richiesta stessa, dal cookie di sessione o dal prefisso del token. Il servizio di ingresso inoltra la richiesta al servizio di quella regione con un’intestazione di inoltro firmata, e il servizio regionale rifiuta ogni richiesta che non ne abbia una valida.
La persona vede la schermata di consenso dell’app e consente solo gli scope che sceglie. L’app riceve un ID pairwise privato, la persona riceve una ricevuta dei dati e l’accesso viene registrato nel suo log di sicurezza, nella sua regione.
Il token ID è firmato con la chiave ES256 attiva. I codici di autorizzazione durano 60 secondi e i token ID 5 minuti. Le chiavi private sono conservate cifrate, sotto una chiave che non si trova nel database.
Un token firmato è un’affermazione precisa e circoscritta. Leggi entrambe le colonne prima di affidarti a uno e prima di chiedere ad altri di farlo.
Un unico emittente, https://id.avonao.com, firma per tutte e sette le regioni con chiavi ES256 (P-256). Le metà pubbliche sono pubblicate apertamente; quelle private sono conservate cifrate nel database principale.
Ogni richiesta è legata a una persona o a un’app prima che qualcosa venga letto o modificato. Così sono gestiti oggi accesso, consenso, regioni e richieste in uscita.
Non si conservano password. Le passkey conservano solo la chiave pubblica. I token di sessione, i token dei link e i codici, i codici di autorizzazione, i token di accesso, i codici di recupero e i client secret delle app sono conservati come hash SHA-256. I segreti che il servizio deve leggere, come i segreti dell’autenticatore e i segreti di firma dei webhook, sono cifrati con AES-256-GCM.
Passkey, un link o un codice via email valido 10 minuti con al massimo 5 tentativi per il codice, accesso social e app di autenticazione con codici di recupero. Il cookie di sessione ha il prefisso __Host-, è HttpOnly, Secure e SameSite=Lax, termina dopo 14 giorni di inutilizzo e comunque dopo 90 giorni. Le modifiche sensibili richiedono una conferma recente, entro 10 minuti.
Il servizio è progettato per conservare il meno possibile: nessuna password, hash al posto dei token, un ID privato per ogni app e solo gli scope consentiti dalla persona.
Token, link, codici e client secret sono conservati come hash SHA-256, quindi una copia del database non ne contiene nemmeno uno funzionante. Non c’è alcuna password da conservare.
Un’app di terze parti riceve per ogni persona un ID pairwise proprio, mai l’identificativo dell’account, così due app non possono far corrispondere i propri utenti. Le piattaforme di Avonao ricevono l’identificativo dell’account.
Lo stato è misurato dai nostri server, non scritto a mano. Non promettiamo alcuna disponibilità durante l’accesso anticipato, e un token che un’app già possiede può essere verificato offline fino alla scadenza.
A cosa ci impegniamo quando qualcosa va storto, e come segnalarci una debolezza prima che la trovi qualcun altro.
Se una violazione riguarda dati personali che trattiamo per conto di un’azienda, la notifichiamo all’azienda senza ingiustificato ritardo e, ove possibile, entro 48 ore, con quanto è noto: la natura della violazione, le persone e i record interessati, le probabili conseguenze e le misure adottate. Quando siamo il titolare del trattamento, la notifichiamo all’autorità competente entro 72 ore da quando ne veniamo a conoscenza, salvo che sia improbabile che la violazione presenti un rischio per le persone, e informiamo le persone interessate senza ingiustificato ritardo quando il rischio è elevato.
Cosa esiste oggi, cosa è disponibile su richiesta e cosa non dichiariamo. Se una riga conta per la tua revisione, il documento collegato è il testo vincolante.
| Voce | Stato | Dettaglio |
|---|---|---|
| Accordo sul trattamento dei dati | In vigore | Un allegato dei Business Terms per i casi in cui trattiamo dati personali per conto di un’azienda: connessioni enterprise e accesso del personale. L’Avonao ID di una persona è nostro, in qualità di titolare del trattamento. Pubblicato come bozza 0.1. |
Tutti i documenti che regolano Avonao ID. Sono pubblicati come bozze, in attesa di revisione legale. Avvisiamo i membri via email almeno 30 giorni prima che entrino in vigore modifiche importanti ai Termini, e le aziende almeno 30 giorni prima che un sub-responsabile sia aggiunto o sostituito.
| Documento | Cosa copre | Versione |
|---|---|---|
| Termini di servizio | L’accordo con i membri: l’account, l’accesso, le app e il consenso, la rete, Verified quando è attivo, l’eliminazione con finestra di ripristino e la responsabilità. | Bozza 0.1 |
Stai conducendo una valutazione del fornitore? Dicci di cosa hai bisogno. Rispondiamo ai questionari per iscritto, e gli acquirenti Enterprise possono parlare con noi dell’architettura.
Il token indica l’identificativo della propria chiave. Il tuo backend recupera l’insieme di chiavi pubblicato, controlla firma, emittente, destinatario, scadenza e nonce, e non deve interpellarci per ogni token.
La verifica è indipendente. La fiducia si riduce a un elenco breve e definito.
| Ti fidi che | Perché | Se viene meno |
|---|---|---|
| L’insieme di chiavi con cui verifichi è nostro | Una firma prova chi detiene una chiave, non di chi sia quella chiave. Recuperi l’insieme via HTTPS dall’emittente che hai configurato. | Un insieme di chiavi sostituito farebbe sembrare validi token falsificati. Fissa l’emittente e, per la massima sicurezza, gli identificativi delle chiavi. |
| Le nostre chiavi di firma sono usate solo dal servizio di accesso | Il servizio firma ciò che il suo codice decide di firmare. Le chiavi sono cifrate a riposo, senza un modulo di sicurezza hardware per ora. | Una chiave di cifratura delle chiavi trapelata o una chiave usata in modo improprio potrebbe firmare token per accessi mai avvenuti. Una chiave compromessa può essere rimossa subito dall’insieme pubblicato. |
| Verifichiamo i metodi di accesso con onestà | Passkey, codici e link sono verificati dal nostro codice. Per Google, Microsoft e GitHub ci basiamo sull’indirizzo che segnalano come verificato. | Un servizio Avonao ID compromesso potrebbe firmare un accesso falso, e un provider compromesso potrebbe segnalare un indirizzo falso. |
| Il nostro orologio | Gli orari di emissione e di scadenza sono l’ora del nostro server al momento della firma. | Un orologio sfasato dà orari errati. Ammetti un piccolo sfasamento dell’orologio quando li controlli. |
| Indirizzo | Contenuto |
|---|---|
https://id.avonao.com/.well-known/jwks.json | L’insieme JWK: solo chiavi pubbliche, in cache per cinque minuti |
https://id.avonao.com/.well-known/openid-configuration | Discovery OpenID: emittente, endpoint e algoritmi supportati, in cache per un’ora |
https://id.avonao.com/.well-known/oauth-authorization-server | Gli stessi metadati nel formato di authorization server OAuth (RFC 8414) |
Verificabile
curl -sSL https://id.avonao.com/.well-known/jwks.json
// kid = primi 22 caratteri dello SHA-256 in base64url dei membri crv, kty, x e y della chiave in JSON
const json = JSON.stringify({ crv: k.crv, kty: k.kty, x: k.x, y: k.y });
const digest = new Uint8Array(await crypto.subtle.digest("SHA-256", new TextEncoder().encode(json)));
const kid = btoa(String.fromCharCode(...digest))
.replace(/\+/g, "-").replace(/\//g, "_").replace(/=+$/, "").slice(0, 22);Per la massima sicurezza, recupera l’insieme di chiavi una volta, conserva ogni kid con i suoi valori x e y nel tuo repository e verifica rispetto a quella copia. Aggiornala quando compare un nuovo kid. Vedi /.well-known/openid-configuration
Un’app ottiene solo gli scope consentiti dalla persona e un ID privato proprio, e la persona può revocarle l’accesso in qualsiasi momento. I ruoli aziendali (owner, admin, developer) seguono il privilegio minimo, e un invito può essere accettato solo dall’indirizzo email invitato e confermato.
I dati di una persona risiedono in un database regionale, raggiunto solo dal servizio di quella regione. Un cookie o un token di un’altra regione è rifiutato, e nulla è letto da un’altra regione né scritto in essa come ripiego. Le aziende sono separate logicamente per identificativo aziendale; un database dedicato per azienda è realizzato ma non attivato.
I webhook sono inviati a indirizzi https con un nome host pubblico, firmati con HMAC-SHA256 e un timestamp, con un timeout di 5 secondi, e i reindirizzamenti non sono mai seguiti. Il callback di un verificatore wallet deve essere https su un dominio che l’azienda ha verificato. L’accesso enterprise controlla firma, emittente, destinatario, scadenza e nonce dell’identity provider.
Accesso, inserimento dei codici, endpoint dei token, creazione di aziende, inviti, verifica dei domini, segnalazioni e follow hanno tutti limiti di frequenza; il link via email consente 5 richieste per indirizzo e 20 per indirizzo IP in 10 minuti. I contatori sono conservati come hash con chiave, quindi né l’indirizzo né l’IP sono conservati in chiaro. Un controllo anti-bot protegge la registrazione e la creazione di aziende, se configurato.
Limiti dichiarati: un nome host che risolve a un indirizzo privato è bloccato dalle regole di uscita di Cloudflare, non da noi, quindi l’elenco dei domini verificati consentiti è il controllo principale. I webhook, le connessioni enterprise (SAML e OIDC) e SCIM sono in Beta, forniti così come sono. Le richieste del browser che modificano dati devono provenire dalla stessa origine.
Ogni volta che un’app riceve i dati di una persona, la persona riceve una ricevuta dei dati. Può vedere cosa vede ogni app e revocarne l’accesso in Le tue app.
Un’app riceve solo gli scope consentiti nella schermata di consenso. Una piattaforma segnala soltanto se un abbonamento è assente, gratuito o a pagamento. Verified, quando è attivo, conserva l’esito e il livello di fiducia, mai le immagini dei documenti.
I dati personali, le sessioni e la cronologia degli accessi di una persona sono conservati solo nella regione scelta alla registrazione. I record aziendali (app, domini, chiavi) e un indice pseudonimo degli accessi sono conservati nella regione principale, US West. Le richieste raggiungono la rete di Cloudflare nella sede più vicina al visitatore e sono poi gestite nella regione della persona, o inoltrate a essa.
| Regione | Codice | Posizione del servizio (regione AWS) | Archiviazione |
|---|---|---|---|
| US East | enam | us-east-1 | Indicazione di posizione |
| US West | wnam | Servizio principale | Indicazione di posizione |
| Europa centrale | weur-1 | eu-central-1 | Giurisdizione UE (applicata) |
| Europa occidentale | weur-2 | eu-west-1 | Giurisdizione UE (applicata) |
| Europa settentrionale | neur | eu-north-1 | Giurisdizione UE (applicata) |
| Asia-Pacifico | apac | ap-southeast-1 | Indicazione di posizione |
| Oceania | oc | ap-southeast-2 | Indicazione di posizione |
Una regione indica dove sono conservati i dati di una persona. Una richiesta per una persona di una regione non legge né scrive mai nel database di un’altra regione, e se una regione non è raggiungibile la richiesta fallisce con un errore.
Il traffico usa HTTPS. I database sono cifrati a riposo dal nostro fornitore di infrastruttura, Cloudflare. I segreti che il servizio deve leggere sono cifrati anche nell’applicazione con AES-256-GCM, sotto una chiave custodita come segreto della piattaforma e mai conservata nel database.
Eliminare un account lo chiude subito e termina le sue sessioni e le connessioni con le app. Per 28 giorni la persona può accedere e annullare l’eliminazione; poi l’account, le email, i metodi di accesso, le sessioni, i registri di consenso e le ricevute dei dati sono eliminati definitivamente, e le voci del log di sicurezza sono rese anonime. Le piattaforme e le app aziendali sono avvisate perché eliminino le proprie copie. L’eliminazione è rifiutata finché è attivo un abbonamento a pagamento. Una persona può scaricare i propri dati come file JSON in qualsiasi momento.
Avonao ID è gratuito per persone e aziende. Durante l’accesso anticipato non c’è alcun accordo sul livello di servizio, salvo che sia concordato per iscritto. Il supporto è via email: business-support@avonao.com per le aziende e enterprise-support@avonao.com per le connessioni e i contratti enterprise.
| Piano | Supporto e livello di servizio |
|---|---|
| Free, Pro, Team e Scale | business-support@avonao.com. Nessun impegno di disponibilità né crediti di servizio durante l’accesso anticipato. |
| Enterprise | enterprise-support@avonao.com. Ogni livello di servizio è concordato per iscritto nel contratto. |
| Funzionalità Beta | I webhook, le connessioni enterprise e SCIM sono forniti così come sono e non sono coperti da alcun livello di servizio. |
| Situazione | Cosa significa | A cosa ci impegniamo |
|---|---|---|
| Interruzione del servizio | Un controllo della pagina di stato fallisce: il discovery dell’accesso, le chiavi di firma o i piani e la configurazione non rispondono. | Mostrato come Non risponde sulla pagina di stato entro circa 30 secondi. |
| Violazione dei dati personali | Un incidente di sicurezza comporta la perdita, la modifica o la divulgazione non autorizzata di dati personali, o l’accesso ad essi. | Un’azienda è informata senza ingiustificato ritardo, ove possibile entro 48 ore. Le autorità entro 72 ore, ove richiesto. |
| Modifica di una funzionalità Beta | Una funzionalità Beta, come i webhook o una connessione enterprise, cambia o termina. | Preavviso di almeno 14 giorni prima di terminare una funzionalità Beta usata da un’azienda. |
Un limite di piano non disattiva mai l’accesso: oltre il limite di utenti attivi mensili, gli owner sono avvisati e gli accessi continuano. Oltre il limite di app o di postazioni, i nuovi sono rifiutati e quelli esistenti restano.
Un token che un’app già possiede è verificato offline con le chiavi pubblicate. I token ID durano 5 minuti, quindi per accedere di nuovo serve il servizio.
Un controllo che fallisce compare sulla pagina di stato. Per un incidente di sicurezza lo contieniamo prima di tutto: i segreti esposti sono ruotati, le sessioni degli account interessati sono terminate e una route interessata può essere disattivata. Le persone interessate sono avvisate via email da no-reply@id.avonao.com, con un indirizzo di supporto.
Segnala tramite il modulo, con i tuoi recapiti o in forma anonima, oppure via email a security@avonao.com. La pagina di segnalazione indica l’ambito e il safe harbor.
| Fase | Obiettivo |
|---|---|
| Conferma di ricezione della tua segnalazione | Entro 3 giorni lavorativi |
| Valutazione iniziale e gravità | Entro 10 giorni lavorativi |
| Aggiornamenti finché il problema è aperto | Almeno ogni 14 giorni |
| Correzione per gravità critica e alta | Puntiamo a 30 giorni |
| Correzione per gravità inferiore | Puntiamo a 90 giorni |
Obiettivi, non garanzie. Chiediamo 90 giorni prima della divulgazione pubblica. Non c’è un bug bounty in denaro; riconosciamo i ricercatori per nome su richiesta.
| Trasferimenti internazionali | In vigore | Quando i dati lasciano il SEE, il Regno Unito o la Svizzera ci basiamo sul Data Privacy Framework UE-USA se il fornitore è certificato e, in caso contrario, sulle Clausole contrattuali tipo dell’UE con l’addendum del Regno Unito. |
| Rappresentante ai sensi dell’articolo 27 | In vigore | NUICORN, Chausseestraße 86, 10115 Berlino, Germania, è il nostro rappresentante e responsabile della protezione dei dati per l’Unione europea. È indicato nell’Informativa sulla privacy. |
| Modifiche dei sub-responsabili | In vigore | Preavviso di almeno 30 giorni via email agli owner o nella console, con il diritto di opporsi per motivi di protezione dei dati e, se non riusciamo a risolvere, di terminare il servizio interessato. |
| Richieste sui diritti privacy | In vigore | Scarica, correggi ed elimina nella dashboard. Le altre richieste vanno a support@avonao.com e ricevono risposta senza ingiustificato ritardo ed entro un mese. |
| Security pack | In vigore | Un whitepaper sulla sicurezza e un questionario di sicurezza precompilato per Avonao ID, da leggere online o scaricare. |
| Questionario di sicurezza | Su richiesta | Su richiesta rendiamo disponibili le informazioni che mostrano come rispettiamo l’articolo 28 del GDPR: il DPA, le misure di sicurezza del suo Allegato 2 e l’elenco dei sub-responsabili. |
| Audit del cliente | Su richiesta | Una volta l’anno con 30 giorni di preavviso, da parte dell’azienda o di un revisore indipendente vincolato alla riservatezza, a spese dell’azienda, oppure in qualsiasi momento dopo una violazione. Possiamo rispondere prima con la documentazione. |
| Certificazioni dei sub-responsabili | Su richiesta | Dove esistano certificazioni o documenti pubblici di conformità di un fornitore e possiamo condividerli, possiamo rispondere prima con essi a una richiesta di audit. |
| Bug bounty | Non offerto | Nessun compenso in denaro. I ricercatori sono riconosciuti su richiesta. |
| SOC 2 e ISO 27001 | Non dichiarato | Avonao ID non possiede alcun rapporto SOC 2 né certificato ISO 27001 e non dichiara di averne. |
| HIPAA | Non dichiarato | Avonao ID non è un servizio HIPAA. Non siamo stati valutati ai sensi dell’HIPAA e non firmiamo business associate agreement. Non inserirvi informazioni sanitarie protette. |
| FedRAMP | Non dichiarato | Avonao ID non ha alcuna autorizzazione FedRAMP e non dichiara di averne. |
| Quali dati personali trattiamo, perché, chi li riceve, dove sono conservati, per quanto tempo, i cookie e come esercitare i tuoi diritti. |
| Bozza 0.1 |
| Politica di utilizzo accettabile | Regole numerate su ciò che non si può fare con il servizio, che le motivazioni delle decisioni possono citare. | Bozza 0.1 |
| Consenso a Verified | Cosa accetta una persona quando sceglie il controllo di identità Verified, quali dati sono trattati e cosa è conservato. | Bozza 0.1 |
| Business Terms | Per le aziende che usano Avonao ID nelle proprie app: ruoli, domini, messa in produzione, obblighi sui dati, inserimento nell’elenco, moderazione, funzionalità Beta, supporto e responsabilità. | Bozza 0.1 |
| Accordo sul trattamento dei dati | Condizioni del responsabile del trattamento per le connessioni enterprise e l’uso da parte del personale: istruzioni, misure di sicurezza, sub-responsabili, notifica di violazione, audit ed eliminazione. | Bozza 0.1 |
| Sub-responsabili del trattamento | Ogni fornitore che tratta dati personali per Avonao ID, cosa fa, dove, e come sono annunciate le modifiche. | Bozza 0.1 |
| Segnalazione e intervento | Come segnalare un’azienda, come viene esaminata una segnalazione, gli esiti possibili, le motivazioni delle decisioni e come contestare una decisione. | Bozza 0.1 |
| Regole di classificazione | Le regole pubblicate che decidono come sono ordinate le aziende nella directory Avonao Business Circle. | Bozza 0.1 |
| Regole di analytics | Le regole inderogabili per la misurazione sui nostri siti: prima il consenso, mai nelle pagine di accesso, nessun identificatore negli eventi, nessuna pubblicità. | Bozza 0.1 |
| Note legali | Chi pubblica Avonao ID, dove è registrata la società e come contattarla. | Bozza 0.1 |
Per una valutazione Enterprise: accesso enterprise con SAML o OIDC, SCIM, condizioni contrattuali e la documentazione per gli acquisti.