Lo sviluppo software, quello vero, non si ferma al clic sul tasto "Publish". Lo abbiamo imparato sulla nostra pelle dopo il 6 marzo, giorno del lancio ufficiale di Runtime TelegramBot Titan Edition. Quello era il debutto del primo grande tassello di Ecosystem.Runtime, il momento in cui il nostro motore Producer-Consumer e l'interfaccia "Titan Glass" hanno finalmente incontrato il mondo reale.
Sono passate tre settimane da quel giorno. Diciannove giorni di test intensivi, feedback degli utenti e monitoraggio costante. E proprio durante questo percorso di osservazione, scavando tra i log e le architetture del sistema, abbiamo individuato delle criticità che non potevano essere ignorate.
Oggi, 27 marzo, non siamo qui solo per festeggiare il primo mese di vita del software, ma per consegnarvi la Security Patch v1.7.7: un aggiornamento che blinda definitivamente l'applicazione e, contemporaneamente, ne riscrive le regole d'accesso economico.
La falla nel muro: Il problema dell'export in chiaro
Il primo punto critico riguardava il cuore del nostro ecosistema OmniSync, ovvero i file .rtb. L'idea alla base è quella di una flessibilità totale: esporti un bot, lo passi a un collega, lui lo importa e il sistema si occupa di gestire la cifratura del Token basandosi sull'hardware del nuovo PC.
Tuttavia, analizzando il processo di transito, ci siamo resi conto di un rischio inaccettabile: nella versione di lancio, il file .rtb salvava il Token in plaintext (testo in chiaro). Per un software che fa della sicurezza hardware-bound il suo vanto, lasciare le chiavi di casa esposte in un file leggibile con un semplice Blocco Note era una contraddizione che andava risolta immediatamente.
La Soluzione: Abbiamo riscritto da zero il modulo di esportazione. Con la v1.7.7, prima di essere scritto nel file .rtb, il Token subisce una brutale cifratura AES-256-CBC. La chiave di cifratura è derivata da un segreto interno dell'app tramite SHA-256.
Il risultato? I file .rtb ora sono casseforti blindate. Potete scambiarli o archiviarli con la massima serenità: senza l'applicazione a fare da interprete, quei dati sono rumore bianco. (Abbiamo comunque mantenuto un fallback automatico per permettere la lettura dei vecchi file non criptati).
Server-Side Request Forgery (SSRF): Quando il nemico bussa da dentro
La seconda vulnerabilità era più sottile, ma potenzialmente letale per chi utilizza Titan su server VPS o all'interno di reti aziendali. Il compito di Titan è interrogare feed RSS per trasformarli in messaggi. Ma cosa succederebbe se, per errore o malizia, venisse inserito un URL che punta alla rete locale, come http://localhost/admin o http://192.168.1.1? Nelle versioni precedenti, il software avrebbe tentato di connettersi, aprendo il fianco a un attacco di tipo Server-Side Request Forgery (SSRF). In pratica, il bot avrebbe potuto essere usato come "ponte" per scansionare la vostra rete privata.
La Soluzione: Abbiamo iniettato un "buttafuori" nel codice sorgente, precisamente nel file parser.ts. Ogni singolo link inserito viene ora validato da un filtro rigoroso: se l'URL non inizia con http o https, o se punta a indirizzi loopback, reti private o link-local, Titan blocca l'operazione. Per i più tecnici: abbiamo anche applicato un rigoroso Type Checking su tutti gli handler IPC tra l'interfaccia e il motore, isolando il database SQLite da qualsiasi tentativo di input malformato.
Perché abbiamo abbassato il prezzo a 9.99€?
Al lancio del 6 marzo, avevamo posizionato Titan Edition con un prezzo di listino di 99.00€. Era un prezzo basato sul valore intrinseco: i servizi SaaS concorrenti chiedono cifre simili ogni mese per offrire meno della metà delle nostre funzioni.
Tuttavia, in queste tre settimane, abbiamo riflettuto sulla missione di Ecosystem.Runtime. Abbiamo costruito questo strumento per noi di Runtime Radio e per tutti i creatori di contenuti, podcaster e piccole redazioni che vogliono fuggire dalla tirannia degli abbonamenti mensili.
Vogliamo che Titan diventi lo standard, non un bene di lusso. Portare il prezzo a 9.99€ (una tantum, per sempre) non è una svalutazione, è una dichiarazione d'intenti. È il prezzo di due birre medie per avere uno strumento professionale che gira sul proprio hardware, senza server esterni che leggono i vostri dati. È la nostra "No-SaaS Revolution".
L'Auto-Updater è ufficialmente Live
C'è un'ultima novità fondamentale. Se avevate già installato la versione di lancio, aprendo l'app oggi dovreste veder comparire un avviso nella Dashboard. È il debutto ufficiale del nostro modulo di Auto-Updating Low-Tech: un sistema leggero che interroga silenziosamente i server di Ecosystem.runtime per garantirvi di avere sempre l'ultima build stabile sotto il cofano.
La nuova, blindatissima versione 1.7.7 è disponibile da questo momento sulla nostra pagina Gumroad a 9.99€.
Siamo partiti il 6 marzo con una visione; oggi, 27 marzo, quella visione è più solida, sicura e accessibile che mai. Buona automazione a tutti.
