Distinzione chiara: elaborazione nativa senza IA, archiviazione locale e moduli IA revocabili.
Per la massima trasparenza distinguiamo l'esecuzione dei calcoli contabili, l'hosting dei dati e il funzionamento dell'IA facoltativa.
Esecuzione deterministica sui server Voilà
Voilà è un'applicazione web cloud (SaaS). Tutti i calcoli contabili, fiscali (GST/QST) e PDF sono eseguiti in codice nativo PHP/SQL sui nostri server sicuri, senza trasferimenti a fornitori IA esterni.
Conserva i documenti in locale
Genera e conserva sul computer fatture PDF, rapporti fiscali e giornali contabili esportati, senza dipendere da formati proprietari chiusi.
Attivazione esplicita per modulo
Le funzioni IA, come l'importazione OCR assistita delle spese, sono disattivate per impostazione predefinita. Se attivate, analizzano solo i documenti inviati al modulo; il consenso è revocabile in qualsiasi momento.
Metodologia, ambito dei controlli e date di valutazione
L'indice Fast4u SaaS Web Shield (100 / 100) corrisponde al certificato pubblico attivo di voila.fast4u.co e alla griglia interna per l'ambito seguente (ultima valutazione: 23 ottobre 2026):
| Area verificata | Ambito e meccanismo | Metodo di verifica | Data di convalida |
|---|---|---|---|
| Trasporto e cifratura | TLS 1.3 (HTTPS rigoroso) in transito e AES-256 a riposo per segreti e token. | Ispezione della configurazione server e OpenSSL | 23 oct. 2026 |
| Protezione HTTP / PHP2Shell | Middleware ProtectAgainstPhp2Shell, rafforzamento di php.ini e filtro dei caricamenti (CVE-2026-109618). | Test interni di penetrazione e revisione del codice | 21 oct. 2026 |
| Autenticazione forte | Autenticazione 2FA di Laravel Fortify (TOTP), chiavi di sicurezza WebAuthn / Passkey e limitazione delle richieste. | Suite di test funzionali di autenticazione | 23 oct. 2026 |
| Pagamenti con carta | Pagamenti gestiti da Stripe (certificato PCI-DSS di livello 1); Voilà non memorizza i numeri completi delle carte. | Verifica del flusso SDK / webhook Stripe | 23 oct. 2026 |
Sicurezza e conformità: una protezione rigorosa, verificabile e trasparente.
Ogni livello tecnico e contrattuale di Voilà è progettato per proteggere l'integrità dei vostri registri contabili, la privacy dei vostri clienti e la vostra sovranità digitale in Québec, in Canada e a livello internazionale.
Contro le vulnerabilità critiche CVE-2026-109618 e CVE-2026-109619 (PHP2Shell), Voilà distribuisce uno scudo difensivo a 4 livelli: neutralizzazione pre-richiesta di session.upload_progress e fatal_error_backtraces (.htaccess / .user.ini), filtraggio WAF dei confini multipart/form-data e delle iniezioni CGI prima dell'avvio applicativo, limite di memoria anti-OOM longjmp() e header HTTP rinforzati.
Crittografia delle comunicazioni, segreti protetti e autenticazione forte
Tutte le comunicazioni sono protette in transito tramite crittografia TLS 1.3 e i segreti applicativi sensibili (credenziali SMTP, token e chiavi di integrazione) sono crittografati in AES-256. Ogni account aziendale opera in un perimetro logico rigorosamente isolato con protezione CSRF, autenticazione a due fattori (2FA) e chiavi di accesso senza password (Passkeys).
Governance allineata alla Legge 25 del Québec e alla PIPEDA federale
I cookie analitici rimangono disattivati per impostazione predefinita fino al vostro consenso esplicito. Disponete in ogni momento dei meccanismi di revoca del consenso, esportazione, rettifica e cancellazione dei dati, supportati dalle nostre informative ufficiali pubblicate in sei lingue.
Infrastruttura di pagamento Stripe PCI-DSS e IA disattivata per impostazione predefinita
I pagamenti con carta bancaria vengono elaborati tramite l'infrastruttura certificata PCI-DSS di Stripe senza memorizzare i numeri di carta sui server di Voilà. Allo stesso modo, i nostri plugin di assistenza IA sono bloccati per impostazione predefinita all'apertura dell'account e si attivano solo su vostra decisione esplicita.
Tracciabilità dei giustificativi e preparazione fiscale strutturata
Numerazione sequenziale controllata, conservazione integrale dei giustificativi PDF multipagina, ripartizione precisa delle imposte canadesi (GST, QST, HST, PST) e dei crediti d'imposta sugli acquisti (CTI/RTI), e prospetti preparatori T2125 / TP-80 pronti per la verifica del vostro commercialista.
Nota di trasparenza e responsabilità professionale: Voilà attua controlli tecnici e contrattuali allineati alla Legge 25 del Québec e alla PIPEDA. La piattaforma automatizza la tenuta della contabilità e la preparazione documentale, mentre la convalida fiscale e contabile finale rimane sotto la responsabilità dell'azienda o del suo commercialista abilitato.
Risposta immediata di Voilà alla falla critica che minaccia il 70% dei siti web
Nel giro di poche ore dalla pubblicazione dell'allerta principale su La Presse il 21 ottobre 2026 riguardante le vulnerabilità critiche CVE-2026-109618 e CVE-2026-109619 (PHP2Shell), il team di ingegneria di Informatique Fast4u ha progettato, verificato e distribuito uno scudo di protezione completo a 4 livelli sull'intera infrastruttura Voilà.
« Ecatombe su internet: Una falla di sicurezza critica minaccia il 70% dei siti web »
L'articolo descrive l'onda d'urto globale causata da due falle critiche di esecuzione di codice da remoto (CVE-2026-109618 e CVE-2026-109619, punteggio CVSS 9,2/10) scoperte nel cuore del linguaggio PHP, esponendo i server non protetti ad attacchi automatizzati.
Cronologia della risposta d'emergenza (nel giro di poche ore)
Pubblicazione dell'allerta sulle vulnerabilità critiche CVE-2026-109618 e CVE-2026-109619 che interessano il 70% dei siti web.
Analisi dei vettori di attacco: corruzione di memoria longjmp() (OOM), confini multipart/form-data e session.upload_progress.
Attivazione del consolidamento pre-richiesta (.user.ini / .htaccess), del firewall Apache e dello scudo Php2ShellShield.
Verifica dell'header 2026.10.21-PHP2SHELL-SHIELD e pubblicazione trasparente del rapporto sulle patch.
Rapporto tecnico delle 4 patch immediate distribuite su Voilà
Protezione attiva senza interruzione del servizioNeutralizzazione pre-richiesta di session.upload_progress e fatal_error_backtraces
Disattivazione rigorosa in .user.ini e .htaccess (mod_php, PHP-FPM e CloudLinux lsapi) di session.upload_progress.enabled = 0, fatal_error_backtraces = 0 e zend.exception_ignore_args = 1 prima dell'analisi del corpo HTTP, bloccando alla fonte ogni corruzione dello stato globale di sessione.
Filtraggio WAF dei confini multipart/form-data e limitazione anti-OOM longjmp()
Regole Apache mod_rewrite che respingono immediatamente con 403 Forbidden qualsiasi richiesta contenente dichiarazioni boundary= multiple, un confine multipart superiore a 70 caratteri o il parametro PHP_SESSION_UPLOAD_PROGRESS, con limite su max_input_vars (2000) e max_input_nesting_level (32).
Ispezione a monte in public/index.php prima del caricamento del framework
Verifica istantanea della conformità RFC dei confini multipart, rifiuto dei payload superiori a 32 MB, blocco delle iniezioni di argomenti CGI (-d, %AD, allow_url_include, auto_prepend_file) e dei flussi phar:// / expect:// / php://filter, ed eliminazione immediata di qualsiasi file temporaneo sospetto.
Middleware ProtectAgainstPhp2Shell e rimozione delle firme del server
Doppia validazione applicativa in cima allo stack Laravel, rimozione dell'header X-Powered-By, blocco dell'accesso diretto ai file .user.ini / .env / .git / .htaccess e aggiunta dell'header di audit X-Voila-Security-Shield: 2026.10.21-PHP2SHELL-SHIELD.