# Sicurezza (/docs/it/trust/security) Questa pagina elenca i controlli di sicurezza che puoi verificare nel prodotto e nella configurazione dell'infrastruttura di Salisan. Non è una certificazione e non sostituisce le [Condizioni di servizio](https://salisan.com/legal/terms) né l'[informativa sulla privacy](https://salisan.com/legal/privacy). ## Protezione dell'accesso [#sign-in] Gli account accedono con e-mail e password, con Google, con una passkey o tramite l'accesso unico (SSO) dello studio. * Le password devono avere da 8 a 128 caratteri. Salisan rifiuta le password presenti in violazioni di dati note. Il controllo invia solo i primi cinque caratteri di un hash della password al servizio a intervalli di Have I Been Pwned. * Un nuovo account con e-mail e password deve confermare il proprio indirizzo e-mail con un codice prima di poter accedere. * Il recupero della password usa un codice inviato per e-mail. * Le richieste di accesso, di registrazione, di codice via e-mail e di recupero sono soggette a limiti di frequenza. * I cookie di sessione sono contrassegnati come sicuri. ## Autenticazione a due fattori [#two-factor] Ogni persona può attivare l'autenticazione a due fattori con qualsiasi app di autenticazione. Salisan mostra codici di recupero monouso durante la configurazione. Ogni codice funziona una sola volta. Il proprietario dello studio può richiedere un'app di autenticazione a ogni membro in **Organizzazione → Impostazioni → Autenticazione a due fattori**. Solo il proprietario può modificare questa policy. Le passkey non soddisfano il requisito. Quando la policy è attiva, il server la verifica sulle richieste di dati dello studio. A un membro senza app di autenticazione viene chiesto di configurarne una prima di poter continuare. La sessione di accesso deve inoltre essere stata creata con un codice dell'app di autenticazione, o elevata tramite esso. ## Accesso unico (SSO) [#sso] L'accesso unico è disponibile con il piano Enterprise. Lo studio collega Microsoft Entra ID o un altro provider OpenID Connect approvato dall'assistenza Salisan, verifica il dominio e-mail della clinica con un record DNS e verifica l'accesso. Il proprietario può poi scegliere **Richiedi SSO ai membri della clinica**. Questo blocca l'accesso locale per i membri. L'account del proprietario mantiene l'accesso locale e l'autenticazione a due fattori per l'accesso di emergenza, e la pagina delle impostazioni mostra se l'account del proprietario è pronto prima dell'applicazione. L'accesso unico non crea account. Una persona deve prima essere invitata. ## Sessioni e avvisi [#sessions] In **Impostazioni → Sicurezza → Sessioni**, ogni persona può vedere le proprie sessioni attive, revocarne una oppure scegliere **Revoca altre sessioni**. Cambiare la password disconnette le altre sessioni. Salisan invia una notifica quando un accesso proviene da un dispositivo che l'account non ha mai usato. Notifica anche quando cambiano una password, un indirizzo e-mail o una passkey, e quando l'autenticazione a due fattori viene attivata o disattivata. I dati degli avvisi di accesso vengono conservati per 90 giorni, come afferma l'informativa sulla privacy. ## Cifratura e archiviazione [#encryption] La configurazione dell'infrastruttura di Salisan stabilisce quanto segue: * Le app web reindirizzano a HTTPS e richiedono TLS 1.2 o successivo. * L'applicazione si connette al database tramite TLS con verifica del certificato. * La cache richiede connessioni cifrate e cifra i dati a riposo. * L'archiviazione del database, l'archiviazione dei file e i backup del database sono cifrati a riposo. * I bucket di archiviazione bloccano l'accesso pubblico. * I backup del database di produzione vengono conservati per 35 giorni. L'informativa sulla privacy descrive le misure di sicurezza come cifratura in transito e a riposo, accesso basato sui ruoli, autenticazione a due fattori e registro di controllo. ## Non ancora pubblicato [#not-published] Non sono pubblicati alcuna certificazione di sicurezza, alcun rapporto di penetration test né alcun questionario di sicurezza completato. Se la tua verifica ne richiede uno, scrivi a [privacy@salisan.com](mailto:privacy@salisan.com) e descrivi di cosa hai bisogno. Vedi [Accesso e registro di controllo](/docs/it/trust/access-and-audit) per i ruoli e il registro di controllo, e [Account e sicurezza](/docs/it/get-started/account-and-security) per i passaggi che ogni persona segue.