Sicurezza

• Chiavi e token salvati solo come impronta SHA-256; chiave mostrata una volta sola; revoca immediata.
• OAuth 2.1 con PKCE: la password non passa mai dall'app AI; token brevi e a rotazione con rilevamento del riuso.
• Ambito limitato: un connettore vede solo crediti e strumenti, non brand, analisi o pagamenti.
• Protezione SSRF: gli indirizzi analizzati devono essere pubblici (http/https, porte 80/443). Il DNS viene controllato prima e l'IP ricontrollato al momento della connessione; i redirect sono verificati uno per uno; dimensione e tempo delle risposte sono limitati.
• Limiti di frequenza, chiamate contemporanee e capacità giornaliera.
• Infrastruttura nell'Unione Europea (Germania), connessioni HTTPS, intestazioni di sicurezza, backup regolari.

Segnalazioni di sicurezza: clarity@whooho.it. Rispondiamo con priorità.