Condivisione sicura
Come condividere un link privato in sicurezza
Passaggi pratici per condividere un link Collogue e la relativa password con meno esposizione persistente.
Pubblicato: 4 marzo 2026
Limiti dell’implementazione attuale
Gli attuali link Collogue contengono il contenuto cifrato nell’URL. Il browser utilizza la Web Crypto API: PBKDF2-SHA-256 con 310.000 iterazioni deriva una chiave AES-GCM da 256 bit dalla password inserita separatamente, usando un salt casuale di 16 byte e un IV di 12 byte. Il client attuale non invia richieste a un’API dell’applicazione per creare, recuperare o memorizzare messaggi.
La password non è codificata nel link. L’implementazione non offre visualizzazione monouso, eliminazione lato server o un timer di scadenza. Considera sensibile il link completo e condividi la password tramite un canale separato.
Ulteriore contesto
La crittografia protegge il contenuto secondo ipotesi tecniche. La consegna decide chi può avere l’occasione di usarlo.
Un messaggio cifrato perfettamente ma inviato all’indirizzo sbagliato resta inviato all’indirizzo sbagliato.
- controlla l’indirizzo e-mail completo o il nome dell’account;
- fai attenzione al completamento automatico;
- conferma le richieste insolite tramite un canale già stabilito;
- evita gli invii a gruppi numerosi;
- non pubblicare il link in un ticket o repository pubblico.
Per credenziali importanti, contatta il destinatario tramite un canale noto invece di rispondere senza verifiche a una richiesta inattesa.
Supponi di inviare l’accesso a un pannello amministrativo.
- il nome dell’azienda;
- l’URL di accesso;
- il nome utente;
- la password;
- lo scopo dell’account.
Un messaggio intercettato fornisce un manuale completo.
Un messaggio Collogue più ristretto potrebbe contenere solo la password temporanea. Il canale ordinario può fornire il contesto non sensibile, oppure il contesto può essere diviso quando il rischio lo giustifica.
Non trasformare tutto in un rituale. Separare dettagli innocui serve a poco se tutti i canali sono controllati dallo stesso account compromesso. Usa il giudizio.
La password migliore da consegnare è spesso temporanea e facile da sostituire.
- link e password devono rimanere privati;
- il destinatario dovrebbe aprirlo solo su un dispositivo affidabile;
- non dovrebbe inviarlo a un verificatore di link online;
- dovrebbe segnalare un link o una password che non funziona;
- la password dovrebbe essere cambiata dopo l’uso.
Evita il gergo tecnico nei messaggi rivolti agli utenti. Spiega che la password viene condivisa separatamente e che entrambe le parti devono restare private.
Usa lo stato di conferma del prodotto, test automatici o un messaggio di esempio separato.
L’interfaccia dovrebbe rendere visibile questo avviso prima che il mittente lasci la schermata del risultato.
E-mail, SMS, chat di gruppo e telefonate hanno rischi diversi.
- compromissione dell’account;
- dispositivi condivisi;
- conservazione dei messaggi;
- archivi aziendali;
- scansione dei link;
- anteprime delle notifiche;
- comodità del destinatario;
- possibilità di verificare l’identità.
Non esiste un canale universalmente più sicuro indipendentemente dalle persone e dai sistemi coinvolti.
Per l’uso aziendale ordinario, un canale già stabilito verso un destinatario verificato più una credenziale temporanea è spesso più utile di una procedura elaborata che nessuno segue correttamente.
- scanner pubblici di URL;
- servizi generici di abbreviazione;
- documenti pubblici;
- reindirizzatori di analisi;
- generatori di codici QR di cui non ti fidi.
Questi servizi possono ricevere o richiedere l’URL completo. Se la chiave è dentro il link, potrebbero ricevere la capacità di aprire il messaggio.
Il mittente può inviare il link via e-mail e confermare il destinatario per telefono. Un altro flusso può inviare il contesto non segreto tramite un ticket e il link privato tramite un messenger approvato.
Questo può rendere insufficiente la compromissione di un solo canale.
Non crea automaticamente un’autenticazione forte. Se la stessa persona controlla entrambi i canali, se entrambi sono sincronizzati su un solo dispositivo o se il mittente verifica un attaccante, la separazione offre meno.
Usa canali separati come una misura tra molte.
- sostituisci le credenziali;
- non inviare di nuovo lo stesso segreto;
- conferma la destinazione;
- controlla l’attività recente dell’account;
- crea un nuovo link.
Ho inviato la password temporanea tramite un link privato Collogue. Usa la password che ho condiviso separatamente e cambiala dopo il primo accesso. Se una delle due parti può essere arrivata a qualcun altro, avvisami così posso sostituire la credenziale.
Questo testo è breve, specifico e non promette una sicurezza impossibile.
Può essere appropriato quando destinatario e account e-mail sono affidabili, il segreto è temporaneo e l’organizzazione comprende il comportamento degli scanner dei link. La consegna via e-mail non autentica da sola chi vede il contenuto.
Per un accesso più rischioso, separare il contesto può ridurre il valore di un singolo messaggio intercettato. Non è sempre necessario e non sostituisce credenziali temporanee o MFA.
Puoi farlo, ma considera appartenenza ai canali, conservazione, archivi aziendali, anteprime, scansione dei link e compromissione dell’account. Scegli la destinazione appropriata più ristretta.
Una passphrase aggiuntiva aiuta solo se è forte, gestita separatamente e implementata correttamente. Se puoi consegnarla in sicurezza, valuta il flusso completo invece di supporre che un’altra password migliori sempre la situazione.
Crea un link privato Collogue quando devi inviare una password, un token, un codice di recupero o un altro valore sensibile breve.