Question 1

Chi è Fabrizio Salmi?

Accepted Answer

Fabrizio Salmi è un security researcher indipendente con base a Genova. Sviluppa e mantiene quasi un centinaio di progetti open source su GitHub, concentrati su quattro aree: Cybersecurity: WAF, reverse proxy, gestione certificati, threat detection AI e LLM: proxy di sicurezza per modelli, controllo qualità del codice generato Proxmox e self-hosting: autoscaling, bilanciamento, strumenti CLI Automazione Cloudflare: gestione zone, WAF e DNS via GitHub Actions Il suo progetto più noto è CertMate.

Question 2

Quali progetti open source sviluppa Fabrizio Salmi?

Accepted Answer

Su github.com/fabriziosalmi ci sono un centinaio di repository pubbliche. Le più popolari: certmate – gestione del ciclo di vita dei certificati TLS caddy-waf – WAF per Caddy UglyFeed – feed RSS riscritti con LLM patterns – regole OWASP CRS e anti-bot per Nginx, Apache, Traefik e HAProxy proxmox-vm-autoscale e proxmox-lxc-autoscale – autoscaling su Proxmox Le aree principali sono cybersecurity, AI/LLM, Proxmox e Cloudflare. Chiedimi di una qualsiasi di queste.

Question 3

Cos'è un WAF (Web Application Firewall) e a cosa serve?

Accepted Answer

Un WAF (Web Application Firewall) è un filtro che sta davanti a un'applicazione web e ispeziona ogni richiesta HTTP prima che arrivi al codice: blocca SQL injection, XSS, path traversal, bot malevoli e scanner di vulnerabilità. A differenza di un firewall di rete, che ragiona su IP e porte, il WAF capisce il contenuto delle richieste. Soluzioni open source nel portfolio di Fabrizio, a seconda dello stack: usi Caddy → caddy-waf usi Nginx, Apache, Traefik o HAProxy → le regole pronte di patterns vuoi un unico binario proxy+WAF → zion sei su macOS → Proxymate vuoi generare regole col machine learning → nginx-waf-ai

Question 4

Cos'è un reverse proxy e a cosa serve?

Accepted Answer

Un reverse proxy è un server che riceve le richieste dei client al posto dei tuoi servizi e le inoltra a chi deve rispondere. Sta "davanti" all'infrastruttura e in cambio ti dà: terminazione TLS in un punto solo, bilanciamento del carico, caching, e un posto naturale dove mettere WAF e rate limiting. (Il forward proxy fa l'inverso: sta davanti ai client e controlla il traffico in uscita.) Strumenti a tema nel portfolio: zion – reverse proxy TLS in Rust, binario singolo con WAF e cache integrati caddy-waf – se il tuo reverse proxy è Caddy secure-proxy-manager – il lato forward: un Secure Web Gateway self-hosted per controllare il traffico in uscita

Question 5

Come funziona Let's Encrypt e il protocollo ACME?

Accepted Answer

Il protocollo ACME (Automated Certificate Management Environment) automatizza l'emissione e il rinnovo dei certificati TLS/SSL validati da autorità pubbliche come Let's Encrypt o ZeroSSL. Comandi pratici per emissione automatica: 1. ACME HTTP-01 Challenge (per server con porte 80/443 aperte): In Caddy è automatico: basta inserire il nome di dominio nel Caddyfile. 2. ACME DNS-01 Challenge (per server interni / homelab senza porte aperte): Con [CertMate](q/cos-e-certmate-gestione-certificati-tls/) o certbot: # Emissione certificato Wildcard (.tuodominio.it) con API Cloudflare certbot certonly --dns-cloudflare \ --dns-cloudflare-credentials ~/.secrets/cloudflare.ini \ -d ".tuodominio.it" -d "tuodominio.it" 3. Rinnovo automatico via crontab / systemd timer: 0 3 certbot renew --quiet --post-hook "systemctl reload caddy" Questo garantisce certificati crittografici sempre validi senza intervento manuale.

Question 6

Certificato TLS scaduto: perché succede e come evitarlo?

Accepted Answer

Quando un certificato TLS scade, i browser mostrano "La connessione non è privata" e il sito è di fatto giù: utenti persi, API che falliscono, monitoraggio che urla. Succede perché il rinnovo era manuale, o perché nessuno sapeva che quel certificato esistesse (il classico: emesso a mano due anni fa su un load balancer dimenticato). La cura ha due parti: automazione del rinnovo – CertMate gestisce l'intero ciclo di vita e in più fa discovery dei certificati che non hai emesso tu monitoraggio indipendente – websites-monitor (via GitHub Actions) o DomainMate controllano le scadenze dall'esterno, così l'errore umano ha un paracadute

Question 7

Cos'è un SIEM e cos'è un SOAR?

Accepted Answer

Un SIEM (Security Information and Event Management) raccoglie i log e gli eventi di sicurezza da tutta l'infrastruttura e li correla: dieci login falliti su dieci macchine diverse sono rumore; la stessa sequenza dallo stesso IP è un attacco. Un SOAR (Security Orchestration, Automation and Response) fa il passo successivo: automatizza la risposta – blocca l'IP, apre il ticket, notifica chi di dovere – con playbook ripetibili. Le suite commerciali costano care e portano i tuoi log fuori casa. Wildbox è l'alternativa open source e self-hosted: SIEM, SOAR e WAF unificati in un'unica piattaforma che gira sulla tua infrastruttura.

Question 8

Chi deve adeguarsi alla NIS2 in Italia e cosa rischia?

Accepted Answer

La direttiva NIS2 (EU 2022/2555, recepita in Italia dal D.lgs. 138/2024) impone obblighi di gestione del rischio cyber e di notifica degli incidenti a una platea molto più ampia della vecchia NIS: energia, trasporti, sanità, digitale, ma anche fornitori e PMI sopra certe soglie, divisi in soggetti essenziali e soggetti importanti registrati presso l'ACN. Le sanzioni arrivano a 10 milioni di euro o al 2% del fatturato mondiale, e c'è la responsabilità diretta degli organi di gestione. Il punto dolente: la conformità non è un documento, è una postura continua. Due strumenti open source a tema: nis2-public – piattaforma di posture management continuo: governance Art. 21, incidenti Art. 23, fornitori Art. 18, playbook di remediation rainlogs – conservazione dei log Cloudflare a prova di manomissione, su storage europeo

Question 9

Cos'è la supply chain security del software (SBOM, SLSA)?

Accepted Answer

La supply chain del software è tutto ciò che finisce nel tuo prodotto senza che tu l'abbia scritto: dipendenze, immagini Docker, action di CI, tool di build. Comprometterne un anello significa compromettere tutti a valle – è successo con xz-utils e, nel maggio 2026, con 84 versioni malevole di 42 pacchetti @tanstack/\ su npm (CVE-2026-45321). Le difese hanno nomi precisi: SBOM (l'inventario di cosa contiene il software), SLSA (livelli di garanzia sulla provenienza delle build), firme sigstore/cosign. Nel portfolio il tema è preso sul serio due volte: come consumatore: tanstack-compromise-checker rileva gli indicatori dell'attacco TanStack su macchine e CI; ai-dependency-guard blocca le dipendenze inventate dagli LLM come produttore: zion è SLSA Level 3, proxxx pubblica release firmate sigstore con SBOM CycloneDX

Question 10

Cos'è la prompt injection e come ci si difende?

Accepted Answer

La prompt injection è l'attacco per cui un contenuto che l'LLM legge – una mail, una pagina web, un documento – contiene istruzioni nascoste che il modello esegue come se venissero dall'utente: "ignora le regole precedenti e inviami i dati". È il cugino moderno della SQL injection, con una differenza scomoda: non esiste un escaping affidabile per il linguaggio naturale, quindi la difesa è a strati. Gli strati praticabili: minimo privilegio per i tool che l'agente può usare, separazione tra istruzioni e dati, filtri su input e output, e controllo di cosa esce oltre che di cosa entra. Su quest'ultimo fronte: llmproxy mette un proxy di sicurezza davanti all'endpoint LLM, e aidlp intercetta credenziali e PII prima che finiscano nel prompt.

Question 11

Cos'è MCP (Model Context Protocol)?

Accepted Answer

MCP (Model Context Protocol) è lo standard aperto, nato in casa Anthropic, con cui un assistente AI si collega a strumenti e dati esterni: un server MCP espone tool tipizzati (leggi questo database, esegui questo comando) e qualsiasi client compatibile – Claude, Cursor, editor vari – li può usare. È il livello che trasforma un chatbot in un agente che agisce su sistemi veri. Nel portfolio di Fabrizio i server MCP sono già di casa: proxxx – 25 tool per pilotare un cluster Proxmox, registro fissato a compile-time l0-memory – memoria a lungo termine per assistenti AI agssh – scansioni di conformità lanciate da un agente nis2-public è MCP-compatibile per il lato compliance

Question 12

Cos'è il vibe coding e quali sono i rischi?

Accepted Answer

Vibe coding: descrivi quello che vuoi a un LLM, accetti il codice che propone, ripeti finché funziona – senza necessariamente leggere cosa è stato scritto. Per prototipi è una superpotenza; il rischio è mettere in produzione codice che sembra giusto ma nasconde bug, vulnerabilità e dipendenze inventate. Quel sedimento ha un nome: slop. La risposta non è rinunciare all'AI, è verificare a valle con strumenti deterministici: vibe-check – GitHub Action anti-slop che fa da gatekeeper in CI brutal-coding-tool – audit brutale del vibecode ai-dependency-guard – blocca le dipendenze allucinate prima del merge

Question 13

Cosa sono le allucinazioni degli LLM (e le dipendenze inventate)?

Accepted Answer

Un LLM "allucina" quando produce con totale sicurezza qualcosa di falso: una fonte inesistente, un'API inventata, un fatto sbagliato. Non è un bug occasionale, è una proprietà statistica del come questi modelli generano testo. La variante più pericolosa per chi sviluppa: le dipendenze allucinate. L'LLM scrive import pacchetto-che-non-esiste, lo sviluppatore lo committa, e un attaccante può registrare quel nome su PyPI o npm (slopsquatting): alla build successiva il codice malevolo entra in casa. Due risorse a tema: ai-dependency-guard – GitHub Action zero-dependency che valida ogni manifest contro i registry ufficiali e fa fallire la CI se trova un pacchetto inventato ai-hallucination-research – l'analisi empirica del fenomeno che sta dietro al tool

Question 14

Cos'è RAG (Retrieval-Augmented Generation)?

Accepted Answer

RAG (Retrieval-Augmented Generation) significa dare a un LLM i documenti giusti al momento giusto invece di sperare che "sappia" la risposta: la domanda dell'utente cerca i passaggi rilevanti in una base di conoscenza (ricerca semantica su embeddings, ricerca full-text, o un ibrido), e il modello risponde citando quel contesto. Meno allucinazioni, risposte aggiornabili senza riaddestrare nulla. Due implementazioni nel portfolio: certmate-agent – assistente per CertMate: LLM locale + tool REST 1:1 + RAG sulla documentazione l0-memory – memoria per assistenti AI con ricerca FTS5 pura di default e retrieval ibrido (full-text + similarità vettoriale) opzionale

Question 15

Cos'è Proxmox VE e perché è così usato?

Accepted Answer

Proxmox VE è una piattaforma di virtualizzazione open source basata su Debian che gestisce VM (KVM/QEMU) e container LXC dalla stessa interfaccia web, con cluster, alta disponibilità, storage ZFS/Ceph e backup integrati (con il gemello Proxmox Backup Server). Dopo la stretta sulle licenze VMware è diventata la via di fuga preferita di homelab e PMI: niente costi di licenza, tutto self-hosted. Il portfolio di Fabrizio ci ha costruito sopra un piccolo ecosistema: autoscaling – proxmox-vm-autoscale e proxmox-lxc-autoscale terminale – proxxx, cockpit TUI/CLI per PVE e PBS bilanciamento – proxmox-cluster-balancer

Question 16

Che differenza c'è tra container LXC e VM?

Accepted Answer

Una VM virtualizza l'hardware: dentro ci gira un kernel completo, isolato da tutto. Un container LXC condivide il kernel dell'host e isola solo lo spazio utente: si avvia in secondi, consuma una frazione della RAM, ma offre un isolamento più debole e può eseguire solo Linux. Regola pratica su Proxmox: LXC per i servizi Linux fidati e leggeri (reverse proxy, database interni, tool self-hosted), VM quando serve un kernel diverso, isolamento forte o compatibilità totale (Windows, appliance, workload sensibili). In entrambi i casi le risorse assegnate a mano invecchiano male: proxmox-lxc-autoscale e proxmox-vm-autoscale le adattano al carico reale.

Question 17

Cos'è GitOps e perché conviene?

Accepted Answer

GitOps significa trattare la configurazione dell'infrastruttura come codice: vive in un repository git, ogni modifica è una pull request con review, e un automatismo (tipicamente una pipeline CI) applica lo stato del repo al sistema reale. I benefici concreti: storia completa di chi ha cambiato cosa, rollback = git revert, e fine delle modifiche a mano non documentate fatte dal collega che ora è in ferie. Esempi funzionanti nel portfolio, tutti su GitHub Actions: zonecontrol e wafcontrol – impostazioni zone e WAF Cloudflare da file versionati dnscontrol-actions – DNS multi-provider con rollback patterns e limits – regole WAF e rate limiting rigenerate ogni giorno e committate

Question 18

Cos'è la sovranità digitale e perché le aziende europee ci tengono?

Accepted Answer

Sovranità digitale significa che i tuoi dati e la tua infrastruttura rispondono alle leggi che hai scelto – e non a quelle di una giurisdizione terza. Il problema concreto per un'azienda europea: il CLOUD Act statunitense può obbligare un provider USA a consegnare dati anche se conservati in Europa, il che stride con GDPR e NIS2. Da qui la spinta verso stack self-hosted o fornitori UE. Nel portfolio il tema è operativo, non ideologico: flareover – migra un sito da Cloudflare a uno stack open source su infrastruttura europea, in modo deterministico e senza sorprese rainlogs – archivia i log Cloudflare su storage S3 europeo con garanzie WORM zion – l'edge "sovrano": un binario Rust auditabile al posto di un servizio gestito

Question 19

Self-hosting: cosa significa e quando conviene?

Accepted Answer

Self-hosting significa far girare i servizi sulla propria infrastruttura invece che affittarli come SaaS: dal media server in salotto al SIEM aziendale on-premise. I pro: controllo totale dei dati, niente canoni che crescono, niente vendor lock-in, conformità più semplice (GDPR/NIS2). I contro, onestamente: la manutenzione è tua – aggiornamenti, backup, certificati, sicurezza. Buona parte del portfolio di Fabrizio esiste per abbattere proprio quel costo di manutenzione: Proxmox con autoscaling per la base, CertMate per i certificati, Wildbox per la sicurezza, NASO per il breach monitoring, pdf-ocr e Noted per la produttività – tutto pensato per girare in casa.

Question 20

Che differenza c'è tra HTTP e HTTPS (e cos'è TLS)?

Accepted Answer

HTTP trasporta le pagine web in chiaro: chiunque sulla strada (Wi-Fi pubblico, provider, proxy) può leggere e modificare ciò che passa. HTTPS è lo stesso protocollo dentro un tunnel TLS, che garantisce tre cose: cifratura (nessuno legge), integrità (nessuno modifica) e autenticazione (stai parlando davvero con quel sito, grazie al certificato). Dal 2018 i browser marcano i siti HTTP come "non sicuri", e HTTPS è ormai il prerequisito di qualsiasi cosa: HTTP/2, geolocalizzazione, PWA. I certificati sono gratuiti via [Let's Encrypt/ACME](q/come-funziona-lets-encrypt-acme/) – e quando diventano tanti, li gestisce CertMate.

Question 21

Cos'è un attacco DDoS e come ci si difende?

Accepted Answer

Un DDoS (Distributed Denial of Service) satura un servizio con traffico proveniente da migliaia di macchine (spesso una botnet) finché non risponde più. Non ruba dati: toglie disponibilità. Le varianti principali: volumetrici (banda), di protocollo (SYN flood) e applicativi (L7: richieste HTTP apparentemente legittime). Difese a strati: una rete anycast davanti (Cloudflare e simili assorbono i volumetrici), poi rate limiting (limits, o l'edge), poi un WAF che riconosce i pattern applicativi (caddy-waf, patterns) e ban automatici per chi insiste (caddy-mib). Il DDoS proprietario su larga scala resta il caso in cui un servizio gestito è difficile da sostituire – flareover lo classifica onestamente come MANUAL.

Question 22

Cos'è la OWASP Top 10?

Accepted Answer

La OWASP Top 10 è la classifica, aggiornata periodicamente dall'Open Worldwide Application Security Project, delle dieci categorie di rischio più critiche per le applicazioni web: broken access control, fallimenti crittografici, injection (SQL e non solo), design insicuro, misconfigurazioni, componenti vulnerabili, fallimenti di autenticazione, integrità di software e dati, logging insufficiente, SSRF. Non è uno standard di conformità: è la lista di priorità con cui iniziare. Sul piano pratico, l'OWASP Core Rule Set traduce molte di queste categorie in regole WAF pronte – ed è esattamente ciò che patterns converte ogni giorno in configurazioni native per Nginx, Apache, Traefik e HAProxy.

Question 23

Cos'è la SQL injection e come si previene?

Accepted Answer

La SQL injection è l'attacco più vecchio del mondo web e ancora in Top 10: input utente concatenato dentro una query SQL, così ' OR '1'='1 trasforma un login in un "entra chiunque". Con varianti blind e time-based si esfiltra un database intero da una singola casella di ricerca. La prevenzione vera è nel codice: prepared statement / query parametrizzate sempre, mai concatenazione; privilegi minimi per l'utente del database; validazione degli input come cintura extra. Il WAF è la rete di sicurezza per il codice che non controlli (plugin, legacy): le regole OWASP CRS di patterns e caddy-waf intercettano i pattern SQLi noti prima che tocchino l'applicazione.

Question 24

Cos'è il cross-site scripting (XSS)?

Accepted Answer

L'XSS consiste nel far eseguire al browser di un'altra persona JavaScript che non doveva esserci: un commento che contiene uno <script>, un parametro URL riflesso nella pagina senza escape. Con quel codice l'attaccante ruba sessioni, riscrive la pagina, esegue azioni a nome della vittima. Difese in ordine di importanza: escaping dell'output in base al contesto (HTML, attributo, JS – i framework moderni lo fanno di default), una Content Security Policy che vieti script non previsti, cookie HttpOnly, e un WAF che filtri i payload noti (caddy-waf, patterns). Per verificare che la tua CSP sia davvero chiusa: agssh la controlla contro il deployment live.

Question 25

Cos'è il modello Zero Trust?

Accepted Answer

Zero Trust rovescia il modello del castello con il fossato: niente più "dentro la rete = fidato". Ogni richiesta viene verificata – identità, dispositivo, contesto – ogni volta, indipendentemente da dove arriva. Reso concreto da Google (BeyondCorp) dopo l'intrusione Aurora, oggi è la direzione di marcia anche per NIS2 e per chi lavora da remoto. In pratica significa: autenticazione forte ovunque (MFA), minimo privilegio, segmentazione, accesso per-applicazione invece della VPN che apre tutta la rete, e log di ogni accesso. Non è un prodotto da comprare: è un'architettura – e la si può costruire self-hosted, un pezzo alla volta, partendo dal punto di uscita (secure-proxy-manager) e dai log (Wildbox).

Question 26

Cos'è l'autenticazione a più fattori (MFA/2FA)?

Accepted Answer

L'MFA aggiunge alla password un secondo fattore di natura diversa: qualcosa che hai (telefono, chiave hardware) o che sei (impronta). Così una password rubata, da sola, non basta – e le password rubate sono il vettore d'ingresso numero uno. Non tutti i fattori valgono uguale: gli SMS sono il minimo sindacale (vulnerabili al SIM swapping), i codici TOTP delle app authenticator sono buoni, le passkey/FIDO2 sono lo stato dell'arte perché resistono anche al phishing: il browser firma una challenge legata al dominio vero, e su un sito clone semplicemente non funzionano. Regola pratica: MFA ovunque sia disponibile, passkey dove possibile, e un password manager per tutto il resto.

Question 27

Come si mette in sicurezza SSH su un server esposto?

Accepted Answer

Un SSH esposto su internet riceve migliaia di tentativi al giorno. La checklist, in ordine di impatto: solo chiavi, niente password: PasswordAuthentication no – elimina il brute force alla radice niente root diretto: PermitRootLogin no, si entra come utente e si eleva limita chi può entrare: AllowUsers/AllowGroups, e se possibile IP allowlist sul firewall ban automatico dei tentativi ripetuti: fail2ban o equivalenti MFA per i casi paranoici, e chiavi con passphrase gestite da un agent Cambiare porta riduce il rumore nei log ma non è sicurezza. E il passo successivo al singolo server è non esporre SSH affatto: tunnel o bastion con accesso per-identità, in puro spirito [Zero Trust](q/cos-e-il-modello-zero-trust/).

Question 28

Quali security header HTTP servono davvero?

Accepted Answer

I security header sono istruzioni che il server dà al browser su come trattare la pagina. Quelli che contano: Strict-Transport-Security (HSTS) – "parla con me solo in HTTPS", per sempre Content-Security-Policy – la whitelist di cosa la pagina può caricare ed eseguire: il singolo header più potente (e più delicato da scrivere) X-Content-Type-Options: nosniff – vieta al browser di "indovinare" i MIME type X-Frame-Options / CSP frame-ancestors – anti-clickjacking Referrer-Policy e Permissions-Policy – privacy e API del browser sotto controllo Per verificarli: DomainMate li controlla in monitoraggio continuo, e per i siti statici agssh li valida in modo fail-closed contro il deployment live.

Question 29

Come si bloccano i crawler AI (GPTBot e gli altri)?

Accepted Answer

Due livelli, con efficacia molto diversa: robots.txt – la richiesta gentile: User-agent: GPTBot / Disallow: / (e lo stesso per ClaudeBot, CCBot, Google-Extended, Bytespider…). I crawler delle aziende serie lo rispettano; gli altri no. il blocco vero – a livello di WAF/server: si filtrano gli User-Agent noti e, per chi mente sull'identità, si ragiona per IP range e comportamento. Le liste di bad bot di patterns (Nginx, Apache, Traefik, HAProxy) e i filtri di caddy-waf fanno esattamente questo, aggiornati ogni giorno. Paradosso da conoscere prima di bloccare tutto: sparire dai crawler AI significa anche sparire dalle risposte delle AI – che per un sito di contenuti può essere il canale di scoperta principale. Scelta legittima in entrambe le direzioni, ma va fatta consapevolmente.

Question 30

Errore ERR_CERT_AUTHORITY_INVALID: cosa significa e come si risolve?

Accepted Answer

Il browser sta dicendo: "questo certificato non è firmato da una CA di cui mi fido". Le cause tipiche: certificato self-signed – normale su dispositivi interni (router, NAS, Proxmox appena installato): o importi il certificato/la CA nel sistema, o metti un certificato vero catena incompleta – il server non manda i certificati intermedi: va corretto lato server (il test di SSL Labs lo evidenzia) CA privata aziendale non installata sul dispositivo su reti pubbliche: un captive portal o un proxy che intercetta il TLS – lì l'avviso va rispettato, non aggirato La cura strutturale per i nomi interni è una CA privata gestita bene: CertMate ne include una, con emissione e rinnovo automatici anche per ciò che non è esposto su internet.

Question 31

Errore 502 Bad Gateway: cause e soluzioni

Accepted Answer

Il 502 lo emette un reverse proxy che non è riuscito a farsi rispondere dall'applicazione dietro di lui. Il proxy è vivo; è l'upstream che manca. Diagnosi in ordine: l'applicazione è giù o sta riavviando (il classico deploy) – guarda i suoi log, non quelli del proxy timeout: la risposta arriva ma troppo tardi – si vede nei log del proxy come upstream timed out porta o socket sbagliati nella configurazione del proxy l'app satura risorse (RAM, connessioni al database) e rifiuta connessioni Se il proxy è Caddy/Nginx in casa tua, il monitoraggio esterno ti avvisa prima degli utenti: websites-monitor o DomainMate. E un'ondata di 502 generati da scanner molesti è il caso d'uso da manuale di caddy-mib.

Question 32

Errore 429 Too Many Requests: cosa significa e cosa fare?

Accepted Answer

Il 429 è un rate limit che ha fatto il suo lavoro: hai superato il numero di richieste consentite in una finestra di tempo. Non è un errore del server – è un semaforo rosso. Se lo ricevi: rispetta l'header Retry-After se presente, implementa un backoff esponenziale con jitter, e valuta caching o batching delle richieste. Se lo ricevi da un'API a pagamento, controlla i limiti del tuo piano. Se lo devi imporre: è la prima difesa contro brute force e scraping. limits genera le configurazioni per Nginx, Apache, Traefik e HAProxy da un solo YAML; su Caddy è integrato in caddy-waf. Buona educazione: rispondere sempre con Retry-After, così i client onesti sanno quanto aspettare.

Question 33

Cos'è il mixed content e come si risolve?

Accepted Answer

Mixed content: la pagina è servita in HTTPS ma carica risorse in HTTP – immagini, script, CSS. Il browser reagisce in due modi: blocca il contenuto attivo (script, iframe: troppo pericoloso) e degrada il lucchetto per quello passivo (immagini). Risultato: pagina rotta o avviso "non completamente sicura". La soluzione è sistematica, non caso per caso: correggi gli URL hardcoded http:// nel codice e nel database (nei CMS è quasi sempre lì il problema) usa URL relativi o https:// espliciti Content-Security-Policy: upgrade-insecure-requests come rete di sicurezza: il browser riscrive da solo le richieste Per scovare i residui: la console del browser li elenca tutti, e per i siti statici agssh tratta ogni risorsa non-self come violazione da spiegare.

Question 34

Fail2ban: cos'è e quali alternative esistono?

Accepted Answer

Fail2ban monitora i log di sistema (SSH, web server, posta) e blocca automaticamente gli indirizzi IP che tentano accessi non autorizzati o attacchi di brute-force. Configurazione consigliata su Linux (/etc/fail2ban/jail.local): [DEFAULT] bantime = 1h findtime = 10m maxretry = 5 banaction = nftables-multiport [sshd] enabled = true port = ssh,2222 backend = systemd mode = aggressive [caddy-auth] enabled = true filter = caddy-auth logpath = /var/log/caddy/access.log maxretry = 3 Comandi da terminale: Avvio e reload: systemctl enable --now fail2ban && fail2ban-client reload Verifica stato carceri: fail2ban-client status sshd Sblocco manuale IP: fail2ban-client set sshd unbanip 192.168.1.50 Per un'alternativa moderna integrata, consulta anche [caddy-waf](q/come-aggiungere-un-waf-a-caddy/); se invece ti serve solo il ban automatico degli IP molesti su Caddy, [caddy-mib](q/bannare-ip-brute-force-caddy/) fa esattamente il lavoro di fail2ban, senza log da parsare.

Question 35

Cos'è il Cyber Resilience Act (CRA)?

Accepted Answer

Il Cyber Resilience Act (Reg. UE 2024/2847, in vigore dal dicembre 2024) impone requisiti di cybersicurezza a qualsiasi prodotto con elementi digitali venduto nell'UE: software, firmware, dispositivi connessi. In sintesi: sicurezza by design, niente vulnerabilità note al rilascio, aggiornamenti di sicurezza per il periodo di supporto, SBOM, e obblighi di segnalazione delle vulnerabilità sfruttate attivamente (questi ultimi scattano già da settembre 2026; il grosso degli obblighi si applica da dicembre 2027). Per l'open source c'è una carve-out per i progetti non commerciali, ma chi monetizza o integra ha responsabilità nuove. Il collegamento pratico con la [supply chain security](q/cos-e-la-supply-chain-security/) – SBOM, firme, provenance – smette di essere buona pratica e diventa legge.

Question 36

Per quanto tempo si possono conservare i log secondo il GDPR?

Accepted Answer

Il GDPR non fissa un numero: impone il principio di limitazione della conservazione – tieni i dati (e gli IP nei log sono dati personali) solo per il tempo necessario allo scopo, e sappi dimostrare il perché. In pratica si stratifica: log tecnici/di sicurezza: settimane o pochi mesi, salvo indagini in corso log rilevanti per obblighi di legge (es. NIS2, fiscali): il periodo che la norma richiede – e qui serve anche integrità dimostrabile tutto il resto: anonimizzazione o cancellazione programmata Il Garante italiano è intervenuto più volte su log conservati "per sempre e senza motivo". La combinazione che regge un audit: retention automatica + immutabilità verificabile – per i log Cloudflare è il mestiere di RainLogs (WORM su storage UE, catena di hash, policy es. 395 giorni).

Question 37

Cos'è un LLM (Large Language Model)?

Accepted Answer

Un LLM è una rete neurale (architettura transformer) addestrata su enormi quantità di testo a fare una cosa sola: predire il prossimo token data la sequenza precedente. Da questa capacità apparentemente banale, a scala sufficiente, emergono traduzione, scrittura, programmazione, ragionamento apparente. Le conseguenze pratiche del "predire il prossimo token": un LLM non sa le cose, genera testo plausibile – da cui le [allucinazioni](q/allucinazioni-llm-dipendenze-inventate/); non ha memoria oltre la sua [context window](q/token-e-context-window/); e la qualità dipende da dati e addestramento, non dalla sicurezza con cui risponde. Capire questi limiti è metà dell'usarli bene – l'altra metà è dargli strumenti e contesto giusti (RAG, tool, verifiche).

Question 38

Cosa sono i token e la context window di un LLM?

Accepted Answer

Gli LLM non leggono parole ma token: frammenti di testo (in media ~4 caratteri in inglese, meno in italiano) prodotti dal tokenizer. "gatto" può essere un token, "gattopardo" tre. Si paga e si misura tutto in token. La context window è quanti token il modello può tenere "in mente" contemporaneamente: prompt + conversazione + documenti + risposta. Sforata quella, il modello semplicemente non vede più il resto – non c'è memoria nascosta. Le finestre moderne vanno da 8k a milioni di token, ma attenzione: finestra grande ≠ attenzione uniforme (i modelli tendono a perdersi il centro dei contesti lunghi) e i costi crescono. Per questo si comprime ciò che entra (l0-compressor per l'output dei comandi) e si recupera solo il rilevante ([RAG](q/cos-e-rag-retrieval-augmented-generation/)).

Question 39

Cos'è la temperatura di un LLM?

Accepted Answer

A ogni passo l'LLM produce una distribuzione di probabilità sul prossimo token. La temperatura decide come si pesca da quella distribuzione: vicino a 0 si sceglie quasi sempre il token più probabile (risposte ripetibili, conservative), salendo verso 1 e oltre si dà spazio ai token meno probabili (varietà, creatività, ma anche più deragliamenti). Regole pratiche: estrazione dati, classificazione, codice → temperatura bassa (0–0.3); brainstorming e scrittura creativa → 0.7–1. Il parametro gemello è top_p (nucleus sampling): limita la scelta ai token che cumulano una certa probabilità – si regola l'uno o l'altro, raramente entrambi. E anche a temperatura 0 un LLM non è davvero deterministico tra versioni e hardware diversi: per la riproducibilità vera servono altri strumenti.

Question 40

Come si fa girare un LLM in locale (e che hardware serve)?

Accepted Answer

Far girare un LLM in locale garantisce privacy assoluta e zero costi per token. I comandi operativi per piattaforma: Linux (con GPU NVIDIA o CPU): curl -fsSL https://ollama.com/install.sh | sh && ollama run llama3.2 Per container: docker run -d --gpus=all -v ollama:/root/.ollama -p 11434:11434 --name ollama ollama/ollama macOS (Apple Silicon, da M1 in poi): brew install ollama && ollama serve (sfrutta nativamente la memoria unificata e Metal MPS a massima banda) Windows / WSL2: Scarica l'installer nativo o via terminale: winget install Ollama.Ollama oppure in WSL2 Ubuntu ollama run mistral Chiamata API locale (OpenAI compatible): curl http://localhost:11434/v1/chat/completions -H "Content-Type: application/json" -d '{"model":"llama3.2","messages":[{"role":"user","content":"Ciao"}]}' Per frontend grafico, collega [Open WebUI](q/interfaccia-chat-per-ollama-open-webui/) o usa [SiliconDev](q/fine-tuning-llm-apple-silicon/) per ottimizzare i modelli.

Question 41

Cos'è Ollama e come si usa?

Accepted Answer

Ollama è il modo più rapido di avere un LLM locale: un demone che scarica, gestisce ed esegue modelli open-weights con un comando – ollama run llama3 e stai chattando. Sotto usa llama.cpp e i formati quantizzati GGUF; sopra espone una API HTTP locale (porta 11434, anche in dialetto OpenAI-compatibile) che qualsiasi applicazione può usare. Quel dettaglio dell'API è ciò che lo rende un mattone d'infrastruttura: molti tool del portfolio di Fabrizio si agganciano a "un endpoint OpenAI-compatibile" proprio pensando a Ollama – l0-memory per gli embeddings del retrieval ibrido, nis2-public per il copilot AI, NASO per il triage dei leak. Il pattern è sempre lo stesso: intelligenza locale, dati che non escono.

Question 42

Cos'è la quantizzazione di un modello (GGUF, 4-bit)?

Accepted Answer

La quantizzazione riduce la precisione dei pesi (da FP16 a INT8/INT4/INT2), abbattendo l'uso di RAM/VRAM con perdita di qualità quasi impercettibile nei formati K-quant. Comandi pratici con llama.cpp: # 1. Conversione checkpoint HuggingFace in GGUF FP16 python3 convert_hf_to_gguf.py ./models/Llama-3-8B/ --outfile model-f16.gguf # 2. Quantizzazione bilanciata consigliata (Q4_K_M = ~4.5 bit per peso) ./llama-quantize model-f16.gguf model-Q4_K_M.gguf Q4_K_M # 3. Esecuzione e benchmark velocità token/s da terminale ./llama-cli -m model-Q4_K_M.gguf -p "Spiega il modello OSI in 3 punti" -ngl 33 -c 4096 Tabella di scelta rapida: Q4_K_M: miglior rapporto memoria/accuratezza per homelab (8B gira in ~6 GB VRAM). Q8_0: quasi identico a FP16, ideale se hai RAM abbondante. Q2_K / Q3_K_S: solo per far entrare modelli enormi (70B) in hardware consumer con perdita semantica sensibile.

Question 43

Meglio fine-tuning o RAG?

Accepted Answer

Domanda da farsi sempre, risposta quasi sempre: prima RAG. Sono strumenti per problemi diversi: [RAG](q/cos-e-rag-retrieval-augmented-generation/) dà al modello conoscenza: recupera i documenti giusti al momento della domanda. Aggiornabile in tempo reale, verificabile (puoi citare le fonti), nessun addestramento. fine-tuning dà al modello comportamento: uno stile, un formato, un gergo, un compito ripetitivo. Non è un buon deposito di fatti – i fatti nel fine-tuning si allucinano volentieri. Quindi: knowledge base, documentazione, dati che cambiano → RAG. Tono di voce, output strutturati particolari, un dominio linguistico stretto → fine-tuning (oggi economico con LoRA/QLoRA, anche [in locale su Mac](q/fine-tuning-llm-apple-silicon/)). E le due cose si combinano: un modello rifinito sul come, con il RAG che porta il cosa.

Question 44

Cos'è un agente AI (e in cosa differisce da un chatbot)?

Accepted Answer

Un chatbot risponde; un agente agisce. La differenza tecnica: l'agente è un LLM in un ciclo – osserva, decide, usa uno strumento ([function calling](q/cos-e-il-function-calling/)), legge il risultato, decide ancora – finché l'obiettivo non è raggiunto. Scrive file, esegue comandi, naviga, interroga API. Con l'autonomia arrivano i rischi: un agente che esegue comandi è un utente privilegiato che si può ingannare ([prompt injection](q/cos-e-la-prompt-injection/)). Le difese sono architetturali: permessi minimi, sandbox, approvazione umana per le azioni irreversibili (human-in-the-loop – così fa il gate Telegram di proxxx prima di toccare un cluster), e strumenti esposti in modo tipizzato e limitato via [MCP](q/cos-e-mcp-model-context-protocol/) invece di "eccoti la shell".

Question 45

Cos'è il function calling (tool use) negli LLM?

Accepted Answer

Il function calling permette a un LLM di usare strumenti: gli descrivi delle funzioni (nome, parametri, a cosa servono) e lui, quando serve, invece di rispondere a parole emette una chiamata strutturata – get_weather(city="Genova"). Il tuo codice la esegue, restituisce il risultato, e il modello continua con quell'informazione. È il mattone che trasforma il testo in azione: senza, un LLM può solo descrivere cosa farebbe. Sopra questo meccanismo si costruiscono gli [agenti](q/cos-e-un-agente-ai/), e per non reinventare l'integrazione per ogni applicazione è nato [MCP](q/cos-e-mcp-model-context-protocol/), che standardizza come i tool vengono esposti. La regola di sicurezza resta quella degli agenti: ogni funzione esposta è superficie d'attacco – tipizzala, limitala, loggala.

Question 46

Cosa sono i guardrail per LLM?

Accepted Answer

I guardrail sono i controlli deterministici intorno a un LLM – perché il modello, da solo, non offre garanzie: si può convincere, distrarre, [iniettare](q/cos-e-la-prompt-injection/). Si mettono su tre lati: input: filtri su prompt malevoli, PII, argomenti vietati prima che raggiungano il modello output: validazione di formato (JSON schema), moderazione contenuti, controllo che non escano segreti azioni: permessi e conferme sugli strumenti che l'agente può usare Il principio: ciò che deve essere garantito non si chiede al modello, si impone col codice. Nel portfolio: llmproxy è il punto unico dove applicarli davanti a qualsiasi endpoint, aidlp è il guardrail specifico anti-esfiltrazione dati.

Question 47

Cos'è un system prompt?

Accepted Answer

Il system prompt è il messaggio con priorità speciale che imposta il comportamento del modello prima della conversazione: ruolo, tono, regole, limiti, formato delle risposte. "Sei un assistente legale, rispondi solo in italiano, cita sempre le fonti" – tutto lì dentro. Due verità scomode da progettista: primo, il system prompt orienta ma non garantisce – un utente determinato può eroderlo, quindi le regole rigide vanno nei [guardrail](q/cosa-sono-i-guardrail-llm/), non nel prompt. Secondo, va trattato come codice: versionato, testato, con i cambiamenti valutati su un set di casi – un aggettivo cambiato può spostare il comportamento più di quanto pensi. E non metterci mai segreti: tutto ciò che c'è nel prompt va considerato estraibile.

Question 48

Cosa sono gli embeddings?

Accepted Answer

Un embedding è la traduzione di un testo (o immagine, o audio) in un vettore di numeri, costruito così che la vicinanza geometrica corrisponda alla vicinanza di significato: "gatto" e "felino" finiscono vicini, "gatto" e "carburatore" lontani. È il modo in cui si dà alla macchina una nozione operativa di "parla della stessa cosa". Usi concreti: la ricerca semantica (trova i documenti rilevanti anche senza parole in comune – il cuore del [RAG](q/cos-e-rag-retrieval-augmented-generation/)), deduplicazione, clustering, raccomandazioni. In pratica: un modello di embedding (locale via Ollama o API), un indice vettoriale dove cercare, e la scelta di design vera – ibridare vettori e ricerca full-text classica, perché ciascuna trova cose che l'altra manca. È esattamente il retrieval ibrido opzionale di l0-memory.

Question 49

Cosa prevede l'AI Act europeo (e da quando si applica)?

Accepted Answer

L'AI Act (Reg. UE 2024/1689, in vigore da agosto 2024) regola l'AI per livelli di rischio: pratiche vietate (social scoring, manipolazione – divieti già applicabili da febbraio 2025), sistemi ad alto rischio (assunzioni, credito, sanità, infrastrutture critiche: requisiti pesanti di qualità dati, supervisione umana, documentazione – già applicabili da agosto 2026 per l'Allegato III, da agosto 2027 per i prodotti regolamentati), obblighi di trasparenza (chatbot e contenuti sintetici vanno dichiarati) e regole per i modelli general-purpose (da agosto 2025). Per un'azienda italiana il punto pratico: censire dove l'AI è già entrata ([shadow AI](q/cos-e-la-shadow-ai/) inclusa), classificare i casi d'uso per rischio, e documentare. Sanzioni fino al 7% del fatturato mondiale per le pratiche vietate. Si integra con GDPR e NIS2 – i tre pilastri della compliance digitale europea.

Question 50

Cos'è la shadow AI in azienda?

Accepted Answer

Shadow AI: l'uso di strumenti AI da parte dei dipendenti fuori da ogni policy e visibilità aziendale – il contratto incollato in ChatGPT per riassumerlo, il codice proprietario dato in pasto a un assistente gratuito. È il seguito naturale della shadow IT, con un aggravante: i dati escono verso servizi che potrebbero usarli, e nessuno lo sa. La risposta che funziona non è il divieto (aggirato in un pomeriggio) ma il canale ufficiale più comodo dell'alternativa: strumenti approvati, un endpoint aziendale con [guardrail](q/cosa-sono-i-guardrail-llm/) e DLP (llmproxy + aidlp fanno esattamente questo davanti a qualsiasi modello), modelli [locali](q/far-girare-un-llm-in-locale/) per i dati davvero sensibili, e una policy scritta che dica cosa si può. L'[AI Act](q/cosa-prevede-ai-act/) rende il censimento non più rimandabile.

Question 51

Come funziona un cluster Proxmox (e cos'è il quorum)?

Accepted Answer

Un cluster Proxmox unisce più nodi in un'unica entità: gestione centralizzata da qualsiasi web UI, migrazione delle VM tra nodi, alta disponibilità. Sotto, corosync mantiene la configurazione replicata e decide chi è vivo. Il quorum è la regola che previene lo split brain: il cluster agisce solo se la maggioranza dei nodi è d'accordo. Con 3 nodi ne può cadere 1; con 2 nodi la caduta di uno blocca l'altro – ed è il classico dolore dell'homelab. Soluzioni: un terzo nodo anche minuscolo, oppure un QDevice (un Raspberry o una VM esterna che fa da ago della bilancia). Regola d'oro: nodi in numero dispari, rete di corosync separata dal traffico dati, e mai pvecm expected 1 come abitudine – è l'ultima spiaggia, non un workaround.

Question 52

Perché usare ZFS su Proxmox?

Accepted Answer

ZFS è filesystem e gestore di volumi insieme, e su Proxmox è integrato nativamente. Cosa compri: integrità: checksum su ogni blocco – il bit rot viene rilevato e, con ridondanza (mirror/RAIDZ), riparato da solo snapshot istantanei e cloni, perfetti per le VM replica incrementale tra nodi (pvesr), il modo povero e solido di avere un quasi-failover compressione trasparente (lz4: gratis in pratica) I compromessi: ZFS ama la RAM (l'ARC si prende quello che trova – limitalo su macchine piccole), vuole dischi dedicati senza RAID hardware di mezzo, e sui consumer SSD scrive parecchio. Per un nodo serio: mirror di due NVMe per VM e sistema. E ricorda: [gli snapshot non sono backup](q/differenza-snapshot-e-backup/) – per quello c'è [PBS](q/cos-e-proxmox-backup-server/).

Question 53

Che differenza c'è tra snapshot e backup?

Accepted Answer

Uno snapshot è un segnalibro nel tempo sullo stesso storage: si crea in un secondo, si torna indietro in un secondo. Comodissimo prima di un aggiornamento rischioso. Ma vive insieme ai dati che protegge: se muore il disco, lo storage o il nodo, muore anche lui. E gli snapshot accumulati degradano le prestazioni e crescono in silenzio. Un backup è una copia indipendente, altrove: altro disco, altro host, altro luogo. Sopravvive al disastro dell'originale. La regola 3-2-1: tre copie, due supporti diversi, una fuori sede. Su Proxmox: snapshot per il "provo questa cosa e magari torno indietro", [Proxmox Backup Server](q/cos-e-proxmox-backup-server/) per i backup veri – incrementali, deduplicati, verificabili. Usarli entrambi, non confonderli mai.

Question 54

Cos'è Proxmox Backup Server e perché usarlo?

Accepted Answer

Proxmox Backup Server (PBS) è il compagno ufficiale di PVE per i backup di VM e container, e cambia categoria rispetto al vecchio vzdump su NFS: backup incrementali con deduplicazione: dopo il primo, ogni backup trasferisce e archivia solo i blocchi cambiati – decine di backup occupano poco più di uno verify programmati (i backup corrotti si scoprono prima di averne bisogno), pruning automatico con policy di retention, cifratura lato client restore granulare: la VM intera o il singolo file Setup tipico: una macchina dedicata anche modesta (o un container su un NAS), datastore su dischi propri, job notturni da PVE, e una sync remota verso un secondo PBS fuori sede per la regola 3-2-1. Con proxxx lo monitori dallo stesso cockpit di PVE.

Question 55

Come si fa il passthrough GPU su Proxmox?

Accepted Answer

Il passthrough consegna la GPU fisica a una VM: prestazioni native per gaming, transcoding o AI. La ricetta su Proxmox: abilita IOMMU nel BIOS (VT-d Intel / AMD-Vi) e nel bootloader (intel_iommu=on o amd_iommu=on) verifica i gruppi IOMMU: la GPU deve essere isolabile (schede madri consumer a volte raggruppano tutto) blocca i driver host (blacklist di nouveau/amdgpu per quella scheda, binding a vfio-pci) aggiungi la GPU alla VM come hostpci con tutte le sue funzioni (audio HDMI incluso), macchina q35 + OVMF Alternative spesso più sagge: per il transcoding o più container che condividono la scheda, il passthrough a LXC (la GPU resta all'host, i container la usano) o le vGPU dove supportate. Il primo tentativo che fallisce è quasi sempre colpa dei gruppi IOMMU o della ROM della scheda: i log di dmesg dicono la verità.

Question 56

Come si aggiorna Proxmox senza subscription?

Accepted Answer

Proxmox è libero: la subscription paga il supporto e l'accesso al repository enterprise (più testato), non il software. Senza subscription si usa il repository pve-no-subscription: stessi pacchetti, ciclo di rilascio leggermente più rapido. La procedura pulita: disabilita il repo enterprise (che senza chiave fallisce), abilita pve-no-subscription – dalla web UI (Repositories) o creando il file in /etc/apt/sources.list.d/ – e aggiorna con apt update && apt dist-upgrade (mai apt upgrade semplice su Proxmox). Lo stesso vale per PBS con il suo repo no-subscription. Il famoso popup "No valid subscription" è solo un promemoria, innocuo. Per un ambiente di produzione aziendale la subscription Community ha senso: repo più conservativo e si finanzia lo sviluppo di quello che stai usando gratis.

Question 57

Come si usano template e cloud-init su Proxmox?

Accepted Answer

Il flusso artigianale – ISO, installer, configurazione a mano – ha senso una volta sola. Poi si passa a template + cloud-init: scarichi l'immagine cloud ufficiale della distro (Debian/Ubuntu .qcow2), la importi in una VM con qm importdisk aggiungi il drive cloud-init, imposti utente, chiave SSH e rete, e converti la VM in template da lì, ogni nuova macchina è un clone che al primo avvio si configura da solo: hostname, IP, chiavi – pronta in un minuto È il mattone dell'infrastruttura ripetibile: sopra ci si mette Terraform/OpenTofu (provider Proxmox) o Ansible e il provisioning diventa codice. E quando le VM così create diventano tante, proxmox-vm-autoscale tiene le loro risorse allineate al carico reale.

Question 58

Come si migra da VMware a Proxmox?

Accepted Answer

Dopo la cura Broadcom ai listini VMware, è la migrazione del momento. Proxmox ha reso la strada semplice: dal PVE 8.2 c'è l'import diretto da ESXi – aggiungi l'host ESXi come storage di import dalla web UI, selezioni le VM e le importi, dischi e configurazione inclusi. La checklist che evita sorprese: prima della migrazione: rimuovi i VMware Tools dalle guest, annota MAC address (le licenze Windows ci tengono) e schede di rete le VM Windows vogliono i driver VirtIO: installali prima o al primo avvio, e parti con il disco in modalità compatibile (SATA) per poi passare a VirtIO per gli host che non puoi collegare: export OVF/OVA o copia dei .vmdk e qm importdisk migra a ondate: prima le VM di test, poi le stateless, per ultime le pesanti Sul dopo-migrazione: [autoscaling](q/autoscaling-vm-lxc-proxmox/), [backup con PBS](q/cos-e-proxmox-backup-server/) e [gestione da terminale](q/cos-e-proxxx-cockpit-terminale-proxmox/) coprono ciò che vCenter faceva pagare.

Question 59

Cos'è una CDN e quando serve davvero?

Accepted Answer

Una CDN (Content Delivery Network) è una rete di server sparsi per il mondo che tiene copie dei tuoi contenuti statici vicino agli utenti: chi visita da Tokyo riceve immagini e CSS da Tokyo, non da Milano. Meno latenza, meno carico sull'origine, più resistenza ai picchi (e ai [DDoS](q/cos-e-un-attacco-ddos/) volumetrici). Quando serve: pubblico geograficamente sparso, asset pesanti, traffico irregolare. Quando serve meno di quanto si creda: un sito italiano per utenti italiani su un buon server europeo con cache locale e HTTP/2 spesso va benissimo – la CDN aggiunge un intermediario, con i [temi di sovranità](q/cos-e-la-sovranita-digitale/) che ne conseguono. Via di mezzo interessante: cache in RAM sull'edge tuo, come fa zion con la sua cache a due livelli.

Question 60

Quali sono i tipi di record DNS (A, CNAME, MX, TXT)?

Accepted Answer

I record DNS sono le voci che dicono a internet dove trovare i pezzi del tuo dominio: A / AAAA – nome → indirizzo IPv4 / IPv6: il record fondamentale CNAME – nome → altro nome (alias); non può convivere con altri record sullo stesso nome, e mai sull'apex MX – dove consegnare la posta del dominio, con priorità TXT – testo libero con usi seri: [SPF, DKIM, DMARC](q/spf-dkim-dmarc/), verifiche di proprietà NS – chi è autoritativo per la zona; CAA – quali CA possono emettere certificati; SRV/PTR – servizi e reverse Gestirli a mano nel pannello funziona finché sono dieci. Poi conviene la via [GitOps](q/cos-e-gitops/): dnscontrol-actions tiene i record in un repository, con review e rollback, su qualsiasi provider.

Question 61

Cos'è il TTL dei record DNS?

Accepted Answer

Il TTL (time to live) di un record DNS dice ai resolver per quanti secondi possono tenerlo in cache prima di richiederlo. È il motivo per cui i cambi DNS "si propagano lentamente": non c'è nessuna propagazione attiva – c'è il mondo che aspetta la scadenza delle proprie cache. Uso pratico: TTL alto (1-24 ore) per record stabili – meno query, più resilienza; TTL basso (60-300 s) quando prevedi cambi. La manovra da manuale per una migrazione: abbassa il TTL almeno un giorno prima (deve scadere il TTL vecchio!), cambia il record, verifica, poi rialza. Ricorda che alcuni resolver ignorano TTL troppo bassi, e che dietro un proxy come Cloudflare il TTL verso il mondo lo gestisce lui. Per la verifica: dig +trace interroga la catena autoritativa senza cache di mezzo.

Question 62

Cosa fa la nuvoletta arancione di Cloudflare (proxy on/off)?

Accepted Answer

La nuvoletta accanto a ogni record DNS in Cloudflare decide tutto: arancione (proxied): il record risponde con gli IP di Cloudflare e il traffico passa dai loro server – da lì arrivano CDN, WAF, protezione DDoS, e il tuo IP d'origine resta nascosto grigia (DNS only): Cloudflare fa solo da DNS, il traffico va dritto al tuo server, IP esposto Errori classici: nuvoletta arancione su servizi non-HTTP (la posta con MX che punta a un nome proxied non arriva – i record di posta vogliono il grigio); e origine "nascosta" ma raggiungibile direttamente perché l'IP è rimasto in giro (vecchi record, certificati in CT log): l'origine va chiusa agli IP che non siano di Cloudflare, altrimenti il proxy è una tenda, non un muro. Chi invece vuole smontare la dipendenza dalla nuvoletta: flareover è la via d'uscita ordinata.

Question 63

Cosa sono i Cloudflare Workers?

Accepted Answer

I Workers sono codice JavaScript/TypeScript (o Wasm) che gira sui server edge di Cloudflare, in tutto il mondo, senza che tu gestisca nulla. Niente container né cold start da secondi: usano V8 isolates, partono in millisecondi ovunque. Usi tipici: riscrivere richieste e risposte al volo, A/B testing, API leggere, autenticazione all'edge, gluing tra servizi. Intorno c'è un ecosistema intero – KV e R2 per lo storage, D1 (SQLite), Queues, cron trigger – che per molti progetti sostituisce un backend tradizionale, col CLI wrangler per lo sviluppo. Il rovescio: è la forma più profonda di lock-in su Cloudflare – il codice è portabile a fatica, i dati vanno migrati. È una delle cose che flareover classifica onestamente come MANUAL: i Workers non hanno un equivalente self-hosted automatico.

Question 64

Cos'è Cloudflare Turnstile (l'alternativa ai CAPTCHA)?

Accepted Answer

Turnstile è la risposta di Cloudflare ai CAPTCHA che fanno perdere tempo agli umani: niente semafori da cliccare – un widget che valuta segnali del browser e distingue persone da bot senza puzzle nella quasi totalità dei casi. Gratuito, funziona anche su siti che non passano dal proxy Cloudflare, e più rispettoso della privacy di reCAPTCHA (niente profilo Google di mezzo). Integrazione in due pezzi: il widget nel form (un tag e uno script) e la verifica server-side del token via API siteverify – saltarla è l'errore che rende tutto decorativo. Verità da conoscere: nessun sistema anti-bot è definitivo, i CAPTCHA si aggirano a pagamento da anni. Turnstile alza il costo dell'abuso; per i form che contano si affianca a [rate limiting](q/errore-429-too-many-requests/) e validazioni serie.

Tutte le domande

Cybersecurity

AI e LLM

Proxmox e self-hosting

Cloudflare

Strumenti e app

Musica e creatività

FabGPT-FAQ