OAuth e Client Machine

Che cos'è questa funzione?

Non tutti gli utenti della tua piattaforma sono persone sedute a una tastiera. Spesso, i "clienti" più importanti sono altri sistemi software — un CRM che estrae dati delle conversazioni, un servizio backend che invia messaggi automatici, un pipeline di dati che esporta analisi. Queste connessioni macchina-a-macchina sono gestite tramite OAuth e credenziali API: un modo sicuro per i sistemi esterni di autenticarsi e interagire con la tua piattaforma in modo programmatico.

---

Perché è importante per la tua azienda

Le integrazioni API sono una parte importante degli accordi aziendali. Quando un grande cliente desidera collegare la tua piattaforma ai propri strumenti interni, ha bisogno di un modo sicuro, auditabile e gestibile per farlo. Questa funzione è ciò che rende possibile tutto ciò.

• Abilita le integrazioni. I clienti possono collegare la tua piattaforma al loro stack tecnologico esistente senza intervento manuale per ogni richiesta.
• Sicurezza che puoi auditare. Ogni connessione ha le proprie credenziali. Se una viene compromessa, revoci solo quella — non tutto. La traccia di audit mostra esattamente cosa ha fatto ogni connessione.
• Limiti di utilizzo per integrazione. Puoi limitare quante richieste una data integrazione può fare al giorno, proteggendoti da picchi di costo imprevisti causati da uno script fuori controllo o uno strumento di terze parti mal configurato.
• Risposta agli incidenti fluida. Se una chiave API di un cliente viene trapelata, il processo per revocarla, emettere nuove credenziali e notificare il cliente è semplificato e ben documentato — minimizzando danni e tempi di inattività.

---

Come funziona (senza gergo tecnico)

1. Un amministratore registra una nuova integrazione nel pannello di amministrazione, dandole un nome e definendo cosa è autorizzata a fare (i suoi ambiti) e quante richieste può fare.
2. Il sistema genera credenziali — un ID client e un segreto. Il segreto viene mostrato esattamente una volta, poi memorizzato solo come hash sicuro (come una password — nemmeno la piattaforma può vederlo di nuovo dopo la creazione).
3. Il sistema esterno si autentica utilizzando quelle credenziali per ottenere un token di accesso limitato nel tempo, che include in ogni richiesta.
4. Ogni richiesta di token è registrata — quale integrazione, da quale indirizzo IP, per quale organizzazione. Questo crea una traccia di audit completa.
5. L'utilizzo viene monitorato in tempo reale. Quando un'integrazione si avvicina al suo limite giornaliero, inizia a ricevere intestazioni di avviso. Quando raggiunge il limite, le richieste vengono rifiutate con un chiaro messaggio di errore invece di fallire silenziosamente.

---

Rotazione delle credenziali (mantenere le cose sicure nel tempo)

Le credenziali API non dovrebbero vivere per sempre. La piattaforma supporta la rotazione delle credenziali — generando nuove credenziali mentre fornisce al proprietario dell'integrazione una breve finestra per aggiornare i propri sistemi, quindi invalidando le vecchie credenziali. Questo è importante per:

• Igiene della sicurezza di routine (rotazione delle credenziali su un programma)
• Recupero post-incidente (sostituzione immediata delle credenziali compromesse)
• Offboarding (revoca permanente dell'accesso quando termina una partnership)

---

Cosa puoi fare come amministratore

• Creare, visualizzare e revocare integrazioni dal dashboard di amministrazione
• Vedere un registro delle attività recenti per integrazione (quando si è autenticata, quante richieste ha effettuato)
• Ruotare le credenziali con un flusso UI guidato
• Impostare quote giornaliere per ogni integrazione
• Disabilitare immediatamente qualsiasi integrazione con un solo clic se qualcosa sembra sospetto

---

Cosa aspettarsi nella roadmap

Il team sta costruendo:

1. Archiviazione delle credenziali hashate e un'interfaccia per la rotazione delle credenziali (stimato 2 settimane)
2. Applicazione delle quote per integrazione con monitoraggio dell'utilizzo in tempo reale (stimato 3 settimane)

Una volta attivo, queste funzionalità ti daranno visibilità e controllo necessari per integrazioni sicure di livello aziendale.