Busymate AI
Prova la demo

Fiducia

La sicurezza è parte del prodotto

Ecco cosa può controllare oggi stesso, in parole semplici, con lo standard esatto accanto a ogni promessa. Nessun badge di conformità compare qui finché non esiste un audit.

Ci contattiGuida per sviluppatori

Le stesse regole per ogni spazio di lavoro

La conferma di accesso scade dopo
120 s
La conferma di azione scade dopo
300 s
Metodo PKCE
S256
Livelli di accesso
3, più un passaggio di conferma
1Host2Dati separati3Handshake4Accesso5Livello di accesso6Conferma7Chiavi in sola scritturaHost sconosciuto403

01Controllo

I suoi dati restano suoi

I dati di ogni azienda restano separati da quelli delle altre, con una separazione applicata dal database stesso.

  • Ogni conversazione, versione pubblicata e permesso appartiene a un solo spazio di lavoro, e a farlo rispettare è il database (row-level security), non solo l’applicazione.
  • Un indirizzo web non associato a uno spazio di lavoro non vede i dati di nessuno: i suoi percorsi riservati agli utenti autenticati rispondono con un 403.
  • Se il sistema non riesce a stabilire a quale spazio di lavoro appartiene una richiesta, la rifiuta invece di tirare a indovinare.

02Controllo

Gli standard che usiamo

Niente soluzioni artigianali: gli standard sono indicati con precisione e questa pagina li legge in tempo reale.

  • I suoi sistemi si collegano via HTTPS tramite MCP (JSON-RPC 2.0) e lo schema di ogni azione è visibile in fase di discovery.
  • Gli strumenti AI si collegano alla piattaforma con OAuth 2.1 con PKCE (S256), registrazione dinamica dei client e refresh token.
  • La risposta di accesso indica il proprio emittente, così un token non può essere confuso tra server diversi (RFC 9207): lo dichiara il nostro server di autorizzazione e lo controlla il nostro client connettore.
  • Quando la piattaforma si collega ai suoi sistemi indica esattamente la risorsa che richiede (RFC 8707). Token exchange (RFC 8693) solo dove è configurato.
MCP · JSON-RPC 2.0OAuth 2.1PKCE S256RFC 9207RFC 8707
/.well-known/oauth-authorization-server/mcpjson
{
  "issuer": "https://busymate.ai/mcp",
  "authorization_endpoint": "https://busymate.ai/mcp/authorize",
  "token_endpoint": "https://busymate.ai/mcp/token",
  "registration_endpoint": "https://busymate.ai/mcp/register",
  "grant_types_supported": [
    "authorization_code",
    "refresh_token"
  ],
  "code_challenge_methods_supported": [
    "S256"
  ],
  "token_endpoint_auth_methods_supported": [
    "none"
  ],
  "authorization_response_iss_parameter_supported": true
}

Letto dai metadati del server di autorizzazione al caricamento della pagina, mai digitato a mano.

03Controllo

Chi è il cliente

È il suo sistema di accesso a garantire per il cliente.

  • Il suo sito firma una conferma di breve durata con la sua chiave (ES256 è l’algoritmo di riferimento; gli algoritmi ammessi fanno parte della sua registrazione).
  • La conferma ha al massimo 120 secondi di vita, è utilizzabile una sola volta (nonce e jti monouso) e indica l’audience busymate-ai e il suo spazio di lavoro.
  • Nulla di ciò che il browser dichiara sulla propria identità viene accettato; l’assistente agisce solo per l’identità indicata nella conferma firmata.
Riconoscere i clienti autenticati

04Controllo

Cosa può fare

Decide lei cosa può fare, e chiede sempre prima di modificare qualcosa.

  • Ogni azione ha uno di tre livelli di accesso: aperta a tutti, solo per clienti autenticati oppure per conto del cliente.
  • Una modifica attende una conferma sul server, non nel browser: ogni azione che lei contrassegna come da confermare si ferma su una scheda di conferma, e lo stesso vale per ogni azione che l’assistente non riconosce.
  • I pannelli all’interno della chat mostrano solo risultati: non eseguono mai una modifica.
  • Quando agisce per conto di un cliente porta con sé una conferma firmata dalla piattaforma (HS256, 300 s) oppure l’autorizzazione OAuth del cliente stesso.
Collegare i suoi sistemi

05Controllo

Le sue chiavi e i suoi dati

Possiamo usare le sue chiavi ma non le mostriamo mai più, nemmeno a lei.

  • Le credenziali dei suoi sistemi sono in sola scrittura: si impostano, si ruotano, non si rileggono mai.
  • Le autorizzazioni sono conservate cifrate per spazio di lavoro e per connessione: l’autorizzazione di un’azienda non viene mai riutilizzata per un’altra.
  • Prima di collegarci a un nuovo indirizzo controlliamo che non possa raggiungere nulla di interno (protezione SSRF).
  • Le richieste vanno ai suoi sistemi: i dati restano suoi.

06Controllo

Chi altro vede il testo delle conversazioni

Solo i fornitori di AI che autorizza lei, e solo quando lo decide lei.

  • I fornitori di AI nel suo elenco di autorizzati sono i sub-responsabili: li sceglie lei per ogni spazio di lavoro e il consumo è mostrato per fornitore.
  • Tutto ciò che invia altrove il testo di una conversazione — un modello AI, una traduzione durante il passaggio a un operatore — si attiva per singolo spazio di lavoro e viene dichiarato al cliente.

07Controllo

Segnalare una vulnerabilità

Ha trovato qualcosa? Lo dica prima a noi.

  • Il contatto attuale e il perimetro sono pubblicati nel nostro security.txt.
/.well-known/security.txtChieda a bro

Legga le regole, poi colleghi i sistemi

Le stesse regole valgono per ogni spazio di lavoro. Colleghi i suoi sistemi e le veda applicate.

Inizi oraColleghi i suoi sistemi
claude mcp add --transport http busymate-ai https://busymate.ai/mcp