Cookie e tecnologie analoghe · aggiornamento 23 agosto 2026
Scegli tu se autorizzare la misurazione.
Il sito usa cookie tecnici e, nelle pagine di autenticazione, segnali antifrode necessari a proteggere l’area riservata. Google Analytics viene caricato soltanto dopo un consenso espresso e revocabile; rifiutare non limita navigazione, login o moduli.1. Che cosa sono i cookie
I cookie sono piccole informazioni salvate dal browser. Alcuni sono necessari per ricordare una scelta, mantenere una sessione o proteggere una funzione; altri misurano come viene utilizzato il sito. Gli strumenti non necessari restano bloccati fino alla scelta dell’utente.
2. Inventario attuale
| Nome | Categoria e finalità | Durata | Fornitore |
|---|---|---|---|
hf_cookie_consent | Tecnico: conserva la versione e la scelta relativa agli analytics. | 180 giorni | Homeflow Desk |
__Secure-homeflow.session_token | Tecnico: mantiene la sessione dopo un accesso valido all’area riservata. In sviluppo locale, senza HTTPS, il nome non include il prefisso __Secure-. | Massimo 12 ore; aggiornamento della sessione dopo 1 ora di attività | Homeflow Desk / Better Auth |
__Secure-homeflow.two_factor | Tecnico e temporaneo: collega il primo passaggio del login alla verifica TOTP o al codice di recupero. In sviluppo locale il nome non include il prefisso __Secure-. | Fino a 10 minuti; viene rimosso al termine della verifica | Homeflow Desk / Better Auth |
_ga | Analitico facoltativo: distingue browser e visite in forma pseudonima per Google Analytics. | Fino a 180 giorni | |
_ga_XXFVFT2D5W | Analitico facoltativo: mantiene lo stato della sessione di misurazione associata alla proprietà G-XXFVFT2D5W. | Fino a 180 giorni |
I nomi tecnici possono cambiare con gli aggiornamenti di Better Auth o Google. L’inventario deve essere ricontrollato dopo ogni modifica a tag, login, CRM, chatbot o strumenti incorporati.
3. Fingerprint Sentinel e challenge anti-bot
Nelle pagine che importano il client di autenticazione, Better Auth Sentinel raccoglie segnali di schermo, browser, lingua, hardware, fuso orario, canvas, WebGL, audio, font, plugin, rete e disponibilità di localStorage, sessionStorage e IndexedDB. Include inoltre l’URL corrente. Da una parte stabile di questi segnali deriva un identificatore pseudonimo di 20 caratteri, che viene associato alle richieste Auth.
Nel browser l’identificatore resta nella memoria della pagina: il codice scrive e rimuove una chiave di prova soltanto per verificare se localStorage e sessionStorage sono disponibili. Componenti, identificatore e ID della richiesta vengono però inviati all’endpoint di identificazione di Better Auth Infrastructure. Non sono usati dal codice Homeflow per pubblicità o misurazione del sito.
Se una richiesta appare automatizzata o anomala, Sentinel può restituire una challenge proof-of-work. Il browser prova automaticamente a risolvere il calcolo e ritenta la richiesta con la soluzione; l’operazione può anche essere bloccata. Dopo un login fallito, il server può trasmettere a Better Auth Infrastructure anche l’identificativo di accesso e un HMAC-SHA-256 della password candidata, non la password in chiaro, per correlare tentativi di credential stuffing.
Questi controlli restano attivi indipendentemente dalla scelta sugli analytics perché proteggono login e area riservata. Necessità, proporzionalità, conservazione remota, regione e accordi con il fornitore devono comunque essere verificati e documentati prima della produzione.
Riferimento tecnico: documentazione Sentinel.
4. Controllo k-anonimo delle password
Quando viene impostata o cambiata una password, Better Auth calcola sul server il relativo hash SHA-1 e invia a Pwned Passwords soltanto i primi cinque caratteri. Il servizio restituisce molti suffissi compatibili, con risposta imbottita; il server confronta localmente il suffisso completo. Sentinel può eseguire lo stesso confronto tramite Better Auth Infrastructure, sempre partendo dal solo prefisso. Password e hash completo non vengono inviati per questa verifica e il codice Homeflow non salva l’hash SHA-1 usato per il controllo.
Questo controllo non usa cookie e non ricerca l’indirizzo email dell’utente. Serve a impedire l’uso di password già presenti in violazioni note.
Riferimenti: Better Auth — Have I Been Pwned e Pwned Passwords API.
5. Google Analytics e Consent Mode
Google Analytics è configurato con Measurement ID G-XXFVFT2D5W. Il tag esterno non viene scaricato prima del consenso agli analitici. Se il consenso viene concesso, il sito misura pagine viste e navigazione; segnali pubblicitari, personalizzazione e archiviazione pubblicitaria restano disattivati.
La durata dei cookie Analytics è limitata dal codice a 180 giorni. Non inviamo a Google nome, email o contenuti inseriti nei form come parametri Analytics. URL e titoli delle pagine possono invece rientrare nei dati di misurazione.
6. Vercel Web Analytics e Speed Insights
Il sito utilizza Vercel Web Analytics per statistiche aggregate e Vercel Speed Insights per misurare i Core Web Vitals. Il codice non invia a questi strumenti nome, email o contenuti inseriti nei moduli; le richieste possono comunque contenere URL, referrer, user agent e metadati tecnici elaborati dall’infrastruttura.
URL e parametri non devono contenere dati personali. Eventuali eventi personalizzati saranno configurati senza inviare recapiti, contenuti dei form o identificatori direttamente riconducibili a una persona.
7. Accettare, rifiutare e cambiare idea
Il primo livello del banner offre comandi per rifiutare, personalizzare o accettare gli analitici. Il rifiuto non produce svantaggi. Il comando “Preferenze cookie” nel footer permette di revocare o modificare la scelta in qualsiasi momento.
Quando il consenso viene revocato, il sito invia lo stato negato, disabilita le misurazioni successive e prova a eliminare i cookie _ga accessibili sul dominio. È sempre possibile cancellare anche i dati del sito dalle impostazioni del browser.
8. Riferimenti e soggetti terzi
Per informazioni sul trattamento svolto da Google consultare le Norme sulla privacy di Google. Il titolare deve verificare e mantenere aggiornati accordi, impostazioni della proprietà Analytics, conservazione, localizzazione e garanzie per eventuali trasferimenti internazionali.
Riferimenti ufficiali: Linee guida cookie del Garante, FAQ cookie del Garante e documentazione Google Consent Mode.