Apre la porta
solo a chi deve entrare.

No, e non è un dettaglio secondario. Gate443 sta davanti al servizio e decide chi può raggiungerlo; l'autenticazione dell'applicazione, se c'è, continua a funzionare come sempre. Chi non è autorizzato non arriva nemmeno alla pagina di login.

È un livello in più, non un rimpiazzo: se domani spegnessi Gate443, la tua applicazione resterebbe protetta esattamente come prima.

È il passaggio che rende la protezione reale: finché l'origine risponde a chiunque, chi conosce l'indirizzo vero può aggirare il cancello. La regola è accettare connessioni solo dall'indirizzo di Gate443, che ti comunichiamo all'attivazione, e rifiutare tutto il resto.

nginx

server {
    listen 443 ssl;
    server_name interno.azienda.it;

    location / {
        allow  198.51.100.7;   # indirizzo di Gate443
        deny   all;
        proxy_pass http://127.0.0.1:8080;
    }
}

Apache 2.4

<Location "/">
    Require ip 198.51.100.7
</Location>

IIS — web.config

<system.webServer>
  <security>
    <ipSecurity allowUnlisted="false">
      <add ipAddress="198.51.100.7" allowed="true" />
    </ipSecurity>
  </security>
</system.webServer>

Richiede la funzionalità IP and Domain Restrictions, che in IIS non è installata per default.

Caddy

interno.azienda.it {
    @estranei not remote_ip 198.51.100.7
    respond @estranei 403
    reverse_proxy 127.0.0.1:8080
}

Firewall, se preferisci fermarli prima del web server

# Linux, ufw
ufw default deny incoming
ufw allow from 198.51.100.7 to any port 443 proto tcp

# Windows, PowerShell
New-NetFirewallRule -DisplayName "Solo Gate443" -Direction Inbound `
  -LocalPort 443 -Protocol TCP -RemoteAddress 198.51.100.7 -Action Allow

Il filtro sul firewall è più solido, perché una richiesta rifiutata non raggiunge nemmeno l'applicazione. Quello sul web server è più comodo quando non gestisci tu la rete.

È l'obiezione giusta da fare: un elenco di indirizzi scritto a mano in dieci configurazioni diverse diventa un problema il giorno che l'indirizzo cambia. Per questo il filtro per IP non è l'unica strada.

• Nome DNS invece del numero. Ti diamo un hostname stabile che punta sempre al gateway: il firewall risolve il nome e aggiorna l'elenco da sé, senza che tu tocchi nulla.
• Segreto condiviso. Gate443 aggiunge alle richieste inoltrate un'intestazione che solo tu e noi conosciamo; l'applicazione rifiuta le richieste che non la portano. Non dipende dagli indirizzi, quindi un cambio di infrastruttura non richiede alcun intervento sui tuoi server.
• Tunnel dedicato. Con una VPN o un collegamento privato l'applicazione accetta solo il traffico che arriva dall'interfaccia del tunnel: l'indirizzo pubblico diventa irrilevante.

In ogni caso ti avvisiamo prima, con un periodo in cui vecchio e nuovo indirizzo restano validi insieme: nessuna finestra di disservizio.

Apre l'indirizzo del servizio, inserisce la propria email e riceve un codice di sei cifre da digitare nella stessa finestra. Nessun link da cliccare: il client di posta non può dirottare l'accesso su un browser diverso da quello che ha fatto la richiesta.

Se l'abbinamento limita gli indirizzi di rete, il codice viene inviato solo quando la richiesta parte da un IP consentito: da qualsiasi altro l'accesso è rifiutato prima ancora dell'email.

Niente. Serve un browser e una casella email. Non ci sono agenti da distribuire, estensioni da approvare o credenziali nuove da consegnare e poi revocare quando qualcuno lascia l'azienda.

Sì. Con il white-label il servizio vive su un tuo indirizzo, per esempio area.azienda.it, con la tua pagina di accesso, il tuo logo e i tuoi colori. Il certificato HTTPS viene emesso e rinnovato in automatico: basta puntare il DNS.

Anche le email col codice partono da un mittente sul tuo dominio. Perché arrivino a destinazione occorre autorizzare i nostri server nei record SPF e DKIM del dominio: è una modifica DNS che ti indichiamo noi.

Sì, i due indirizzi convivono. Ogni servizio ha sempre un URL a percorso nella forma /cliente/servizio, e se attivi il dominio white-label quello continua a funzionare: comodo come indirizzo di riserva mentre il DNS si propaga, o per chi ha già un segnalibro.

Chi è entrato, quando, da quale indirizzo e verso quale servizio. Sei tu a decidere per quanti giorni conservarli: oltre la soglia i log vengono cancellati da soli.

Gli indirizzi IP possono essere mascherati subito o dopo un numero di giorni che scegli tu. Chi amministra la piattaforma vede gli indirizzi sempre in forma anonimizzata.

Ogni richiesta viene filtrata prima di raggiungere il servizio: limite di frequenza per indirizzo, blocchi a tempo automatici per chi insiste, liste di indirizzi e nazioni consentite o vietate. La geolocalizzazione è offline, quindi nessun dato dei tuoi visitatori esce verso servizi esterni.

Le regole si applicano in ordine di precedenza: prima le liste di indirizzi, poi quelle per nazione, infine il limite di frequenza.

La fatturazione parte sempre dal primo giorno del mese: i giorni dall'attivazione a fine mese sono in omaggio. Quando aggiungi o togli servizi e opzioni, le condizioni in vigore restano valide fino alla fine del mese e le nuove decorrono dal mese successivo.

Nulla viene ricalcolato a ritroso e ogni variazione resta tracciata, con il suo periodo di validità e il suo importo.