Come è fatto, e da cosa ti protegge.

Il principio: il nostro cloud non sta nel mezzo

Quando apri una sessione, il nostro cloud fa tre cose: controlla che tu sia tu, controlla che tu possa entrare su quel computer, e presenta i due capi l'uno all'altro. Poi esce dal percorso. Il video, la tastiera e il mouse viaggiano direttamente fra il tuo browser e il PC controllato, cifrati con DTLS-SRTP, lo stesso meccanismo che il tuo browser usa per le videochiamate.

Se le due reti non riescono a parlarsi da sole (capita con certi router aziendali e con le connessioni mobili), il traffico passa da un relay. Il relay inoltra byte cifrati e non ha le chiavi per aprirli: non è un nostro sguardo sul tuo lavoro, è un tubo.

Conseguenza pratica, e ci teniamo: se il nostro cloud si ferma, le sessioni già aperte continuano. Ne restano fuori solo le sessioni nuove, che hanno bisogno di qualcuno che faccia le presentazioni.

Dove stanno i dati, con il nome della città

Abbiamo letto le pagine sulla sicurezza, sulla conformità e sui prezzi di nove prodotti di controllo remoto, il 25 settembre 2026, e in nessuna di quelle pagine c'è scritto in quale paese stanno i server, nemmeno in quelle dei due italiani: al massimo si legge «data center certificati». Forse il dato sta dentro a un allegato contrattuale, e non lo sappiamo. Sappiamo che noi te lo scriviamo qui, in chiaro, senza farti aprire un PDF.

I server del cloud stanno in Europa, in un centro dati OVH a Francoforte. Il video va da computer a computer; quando la rete non lo permette rimbalza su un nostro relay, che però le chiavi non le ha e il contenuto non lo vede.

Il paese è la Germania, e l'abbiamo verificato il 25 settembre 2026 sugli indirizzi IP veri delle macchine, non sul contratto di chi ce le affitta. Il relay che entra in gioco quando la rete blocca il collegamento diretto sta anch'esso in Europa, su macchine dello stesso fornitore: quando ne accenderemo più di uno, scriveremo qui dove stanno, uno per uno.

Il giorno in cui uno di questi server si spostasse, questa riga e la pagina privacy cambierebbero lo stesso giorno. Se ti serve per iscritto per un tuo cliente o per un questionario, chiedilo: te lo mandiamo firmato.

L'identità del computer sta nel computer

Alla prima accensione l'agent genera una chiave crittografica (ECDSA P-256) dentro il TPM 2.0, il chip di sicurezza saldato sulla scheda madre. Quella chiave non esce di lì: il TPM sa firmare con essa, ma non sa consegnarla. Nemmeno un amministratore del PC può copiarla su un'altra macchina per fingersi quel computer.

Dove il TPM manca (macchine vecchie, alcune virtuali), la chiave viene creata dal sistema operativo e protetta con DPAPI a livello di macchina. È una protezione minore, e per questo nella dashboard quel computer resta segnato come tale: non ti nascondiamo la differenza.

Noi conserviamo solo la parte pubblica. Quando l'agent si collega, firma una sfida che gli mandiamo: è così che dimostra di essere lui, senza che nulla di segreto attraversi la rete.

Vale la pena dirlo, perché è una differenza che non si vede dal prezzo: nelle pagine sulla sicurezza di quei nove prodotti, lette lo stesso giorno, la parola «TPM» non compare mai, e nemmeno la parola «passkey». Parlano tutti di secondo fattore, cioè della generazione prima, e nessuno dice dove vive la chiave privata del computer.

Chi sta davanti al computer ha l'ultima parola

Appena installato, Cedro Connect è in modalità consenso: quando qualcuno chiede di entrare, sul PC compare una richiesta con il nome di chi sta bussando e trenta secondi per rispondere. Se nessuno risponde, non si entra. Se nessuno è connesso a quel PC, non si entra.

È il comportamento di fabbrica, non un'opzione da andare a cercare. E c'è una cosa che conviene sapere, perché nessun altro te la può dare: il consenso non si spegne da remoto. Questa scelta vive sul computer, non nel nostro cloud: nessuno, nemmeno noi, nemmeno chi amministra la tua organizzazione, può togliere il consenso a distanza.

Per mettere un computer in accesso non presidiato (un server, una macchina in magazzino, un PC su cui fai assistenza con un accordo scritto) bisogna essere davanti a quel computer, o entrarci da amministratore, e cambiare la sua regola locale. Dal cruscotto si può solo stringere, mai allargare: se la regola dell'organizzazione chiede il consenso, il computer lo chiede anche se il permesso dice di no. E ogni sessione aperta senza consenso finisce nel registro.

Ci sarà anche una terza strada, quella che oggi manca a chi ha i server in un armadio: il proprietario del computer approva la sessione dal proprio telefono, senza essere davanti alla macchina. Il prodotto è già costruito per accettarla; manca l'applicazione da cui dire di sì, e finché non c'è non mettiamo una data.

Il permesso dura un minuto e vale una volta sola

Il cloud non dice al PC «fai entrare Marco». Gli consegna un permesso firmato che vale 60 secondi, per una sola sessione, con dentro cosa quella sessione può fare (guardare? comandare? usare gli appunti?). L'agent verifica la firma e la scadenza per conto suo, e poi fa rispettare i diritti messaggio per messaggio: in una sessione di sola visione, un comando di tastiera non viene ignorato per educazione, viene buttato via e scritto nel registro.

Le regole sono valutate due volte: una dal cloud quando rilascia il permesso, e una dal PC quando lo riceve. Se il cloud sbagliasse, il PC direbbe comunque di no.

Che cosa succede se il cloud siamo noi, e non siamo affidabili

È la domanda giusta da fare a chiunque venda un prodotto come questo. La risposta onesta è che un cloud che fa le presentazioni potrebbe, in teoria, presentare a te un impostore. Per questo le impronte crittografiche dei due capi (i fingerprint DTLS) vengono firmate e confrontate: il tuo browser e il PC controllato verificano di parlare con chi credono, e non si accontentano di ciò che il cloud racconta. In più, ogni sessione ha un codice di sicurezza breve che le due persone possono confrontare a voce.

Non significa che devi fidarti di noi ciecamente. Significa che abbiamo costruito il prodotto in modo che fidarsi di noi sia il meno possibile necessario.

Il tuo account

• Passkey come metodo principale. È la chiave del dispositivo da cui entri (impronta, volto o PIN): non c'è una password da indovinare, da riusare o da rubare con una pagina falsa.
• Password con il secondo fattore, se preferisci: la password è conservata con Argon2id, e il codice a sei cifre si attiva in un minuto, con i codici di recupero da stampare e mettere via. L'organizzazione può renderlo obbligatorio per tutti: senza, non si apre nessuna sessione.
• Il secondo fattore torna a chiedere ogni volta che entri da un dispositivo nuovo, e una regola può chiedere un accesso recente per i computer più delicati.
• Le sessioni di accesso si rinnovano a rotazione, e se un token vecchio riappare lo consideriamo un furto e chiudiamo tutto.
• Ti avviseremo per email quando un dispositivo nuovo viene autorizzato sul tuo account, con quando, da dove e con quale browser. La posta di servizio entra in funzione con l'inizio della beta: fino ad allora il prodotto non manda nessuna email, e gli inviti sono collegamenti da passare a mano.

Sul computer controllato

• Nessuna porta in ascolto verso internet. È l'agent ad andare verso il cloud: non c'è niente, sul tuo PC, a cui internet possa bussare. Sulla rete locale l'installazione aggiunge un'eccezione sola al firewall di Windows, legata a un solo nostro programma e limitata a quella rete, perché il video vada diretto quando chi assiste sta sulla stessa rete. In uscita verso internet non apriamo niente, e quella eccezione se ne va con la disinstallazione.
• I privilegi restano al loro posto. Il servizio gira come sistema, ma la parte che cattura lo schermo e riceve i comandi è un processo separato. E se un giorno ci saranno operazioni sui documenti del computer, gireranno con i permessi dell'utente connesso, mai con quelli del sistema: è una decisione già presa.
• Il pacchetto non è ancora firmato, e Windows te lo dirà. Il certificato è in lavorazione: finché non arriva, installando vedrai «editore sconosciuto». Non è un dettaglio da nascondere. È la ragione per cui su questa pagina c'è l'impronta SHA-256 del file e il comando per confrontarla. Quando il certificato arriverà, lì comparirà il nome dell'editore da aspettarsi e questo avviso sparirà.
• Gli aggiornamenti si verificano da soli. L'agent scarica solo aggiornamenti il cui manifest è firmato con la nostra chiave (che è dentro il binario, non arriva dalla rete) e la cui impronta SHA-256 corrisponde. Se la versione nuova non parte, il PC rimette la precedente da solo.
• Niente di superfluo. Le librerie video le costruiamo noi con dentro il minimo indispensabile: quattro file per 2,8 MiB al posto dei sette per 156 MiB di una build generica. Ogni pezzo di codice che non c'è è un problema di sicurezza che non avremo.

I tuoi dati

• Stanno in Europa, e il capitolo qui sopra dice in quale città. Il database cifra a riposo quello che gli diamo.
• Il contenuto delle sessioni non lo vediamo mai: né il video, né quello che scrivi, né quello che copi. Quando le due reti si parlano direttamente non passa da nessun nostro server; quando non ci riescono passa dal nostro relay come byte cifrati, di cui il relay non ha le chiavi. In nessuno dei due casi finisce nei nostri archivi.
• Il registro degli accessi si consulta e si esporta, e la scadenza la scegli tu entro il tetto del tuo piano. Si scrive e si legge: nessuna funzione, né per te né per chi amministra la tua organizzazione, permette di correggere o togliere una riga già scritta. Le righe se ne vanno per una ragione sola, la scadenza, e attenzione: se la accorci, spariscono subito anche le righe più vecchie della nuova. Non è una cassaforte a prova di noi, ed è giusto che tu lo sappia: chi amministra il database può tecnicamente farci quello che vuole, come in qualunque servizio.
• Se ci scrivi per chiudere la tua organizzazione, cancelliamo tutto quello che la riguarda, registro compreso, entro trenta giorni. La pagina privacy elenca dato per dato cosa trattiamo.

Che cosa succede quando l'abbonamento scade

È l'altra domanda a cui, nelle pagine che abbiamo letto quel giorno, non risponde nessuno: si trova la pagina per comprare, non quella per smettere. Qui c'è, e dice cinque cose.

• Non si cancella niente. Alla scadenza i computer restano arruolati, i gruppi e le regole restano come li hai lasciati, e il registro degli accessi resta tuo e consultabile: il listino promette dodici mesi, e in quei dodici mesi puoi esportarlo quando vuoi, in CSV e in JSON.
• Quello che si ferma sono le sessioni nuove. Non ti colleghi più finché non riprendi l'abbonamento. Le sessioni già aperte in quel momento non vengono staccate a metà.
• L'agent non diventa un ospite scomodo. Resta un servizio Windows che non apre porte e che non fa entrare nessuno senza un permesso firmato, e si disinstalla da «App installate» come qualsiasi altro programma, portandosi via la sua cartella e le regole di sistema che aveva cambiato. Non serve la nostra autorizzazione per togliere il nostro software dal tuo computer.
• Nessun rinnovo automatico a sorpresa e nessun preavviso da rispettare. Ti scriviamo trenta giorni prima della scadenza, con il prezzo scritto. Se non fai niente, scade: non parte un addebito e non parte un anno nuovo.
• Se torni, ritrovi tutto. Entro quei dodici mesi riprendere vuol dire pagare e ricollegarsi, non reinstallare l'agent su cinquanta computer.

Durante la beta pubblica non c'è nulla da pagare e nulla da disdire: quando la beta finirà te lo diremo almeno un mese prima, con il prezzo, e deciderai tu.

Da cosa non ti proteggiamo

Un elenco di garanzie senza un elenco di limiti non serve a niente. Questi sono i casi in cui Cedro Connect non ti può aiutare, e li scriviamo per primi noi:

• Un amministratore della tua organizzazione che abusa dei suoi permessi. Può fare quello che i suoi permessi gli consentono. Resta scritto nel registro, ma succede.
• Un PC già infettato da un programma con i privilegi di sistema. Chi è già dentro con quei privilegi vede lo schermo senza bisogno di noi.
• Il computer da cui comandi, se è compromesso. Se qualcuno controlla il tuo portatile, controlla anche le tue sessioni.
• Un test di intrusione esterno: non è ancora stato fatto. È previsto prima del lancio pubblico. Fino ad allora, quello che leggi qui è il nostro progetto e le nostre prove, non il verdetto di terzi.

Se trovi un problema

Scrivici a info@cedroconnect.com con «sicurezza» nell'oggetto. Rispondiamo, non minacciamo nessuno, e ti diciamo cosa abbiamo fatto. Se il problema è reale e ce lo segnali prima di renderlo pubblico, lo sistemiamo e ti citiamo, se vuoi essere citato.

La pagina assistenza dice come ci si scrive per tutto il resto, e accessi remoti e NIS2 mette a confronto punto per punto quello che la direttiva chiede e quello che il prodotto fa.