Il pattern "notifica + fetch" nei WebSocket
Il server notifica, il client risponde con una GET: il canale bidirezionale c'è già, ma viene usato come campanello. Costi reali del pattern e alternativa.
BLOG
Guide e approfondimenti su siti web, web app, chatbot, SEO, sviluppo e sicurezza.
7 strategie di cache eviction che andrebbero conosciute (e capite a fondo) da tutti i developers
Decidere quale dato eliminare quando la cache è piena conta quanto la scelta della cache stessa. Le sette politiche principali e il modello di accesso che ognuna ottimizza.
Architettura Multi-Account: 3 Pattern per la Gestione degli Accessi Delegati
Tre modi di far accedere un account slave ai dati di un master — token sharing, device ID mapping, session override — e i trade-off di ciascuno su onboarding, audit e sicurezza.
Git: ogni commit è uno snapshot sicuro del tuo progetto
Ogni modifica importante diventa una fotografia a cui poter tornare. Git è la differenza tra "abbiamo perso il lavoro" e "torniamo a ieri".
Reverse SSH tunneling: accesso remoto sicuro a dispositivi dietro NAT o firewall
Raggiungere un dispositivo dietro NAT, DNS filtrato o firewall aziendale senza toccare le regole di rete: come funziona il reverse SSH tunneling, comandi alla mano.
Progetto greenfield: i vantaggi di partire da zero
Partire da un foglio bianco permette scelte tecniche pulite e moderne, senza il peso del debito accumulato. Ecco quando il greenfield è la scelta giusta.
Landing page efficaci: SEO, struttura e conversioni
Una buona landing page fa due cose: si fa trovare su Google e spinge all'azione. Ecco come si costruisce, tra SEO, struttura e velocità.
SEO tecnica: cosa deve fare il sito perché i contenuti siano trovabili
Prima dei contenuti c'è la meccanica: cosa vede un crawler, cosa riesce a indicizzare e cosa lo blocca. Le parti verificabili su cui si interviene davvero.
Self-hosting degli asset invece della CDN: controllo, privacy, affidabilità
Una CDN è comoda, ma ti lega a un terzo e può sollevare problemi di privacy. Ospitare gli asset in proprio dà controllo e conformità: ecco i trade-off.
Sviluppo su misura o piattaforme no-code: i vincoli che pesano nel tempo
Cambia il peso del codice servito, la superficie d'attacco, la portabilità dei dati e il costo di ogni richiesta che esce dallo schema previsto.
Core Web Vitals: cosa misurano LCP, INP e CLS e come si interviene
LCP, INP e CLS: soglie, cause tecniche e interventi che spostano il numero, più la differenza tra il punteggio di Lighthouse e i dati reali di campo.
DRY — Don't Repeat Yourself: la duplicazione è un costo nascosto
Ogni pezzo di logica duplicato è un punto in cui un bug può nascondersi due volte. DRY non è purismo: è risparmio concreto nel tempo.
Chatbot con LLM e RAG: come si ancora un assistente ai propri contenuti
Un modello linguistico da solo non conosce i tuoi dati. Quello che rende utile un assistente è il recupero dei contenuti giusti e i vincoli su cosa può fare.
Vetrina, e-commerce e web app: cosa cambia nell'architettura
Non è una scala di prezzo: sono tre architetture diverse. Dove vive lo stato, quali errori vanno gestiti e cosa comporta ciascuna scelta nel tempo.
Forced browsing e penetration testing: come si cercano (e chiudono) le falle
Gli automatismi che cercano pagine dimenticate sono solo l'inizio. Il penetration testing attivo mette davvero alla prova le difese: ecco la differenza.
Blueprint del progetto: un'architettura documentata e replicabile
Un progetto senza mappa è ostaggio di chi l'ha scritto. Un blueprint dell'architettura lo rende comprensibile, manutenibile e indipendente.
Cookie e Privacy Policy: a norma GDPR senza banner inutili
Non tutti i cookie richiedono consenso e non tutti i banner sono a norma. Ecco cosa serve davvero per essere conformi al GDPR, in modo pulito.
Cache busting: pubblicare aggiornamenti che gli utenti vedono subito
La cache rende i siti veloci, ma può nascondere gli aggiornamenti. Il cache busting fa vedere subito le modifiche, senza chiedere all'utente di svuotare nulla.
Proteggere il codice sorgente: middleware che blocca i sorgenti
Nel browser arriva solo il bundle finale, non i sorgenti. Un middleware che blocca la cartella del codice impedisce di scaricare la versione leggibile.
Codice che non si rompe: principi SOLID, DRY e race condition
La differenza tra software che regge negli anni e codice che si sgretola sta in pochi principi. Ecco i più importanti, con esempi comprensibili.
Timing attack: perché confronto i token in tempo costante
Un confronto ingenuo tra token può "perdere tempo" in modo misurabile e svelare il segreto un carattere alla volta. Ecco come si evita.
Minificazione e offuscamento del JavaScript: prestazioni e tutela del codice
Due passaggi diversi con scopi diversi: la minificazione alleggerisce, l'offuscamento protegge. Ecco come e perché li uso nella build.
Rate limiting: proteggere il sito da abusi ed esaurimento risorse
Un sito senza limiti è esposto a brute force e sovraccarichi. Il rate limiting mette un tetto alle richieste e protegge risorse e account.
Quando conviene un framework: React + TypeScript + Vite
Un framework è uno strumento, non un obbligo. Ecco i segnali che indicano quando React (con TypeScript e Vite) è la scelta giusta — e quando no.
Path traversal: come blocco l'accesso a file non autorizzati
Con richieste costruite ad arte un attaccante prova a uscire dalle cartelle pubbliche e leggere file riservati. Ecco come si chiude questa porta.
Dal file JSON al database: quando servono SQLite e un ORM (Drizzle)
Un file JSON è comodo per iniziare, ma ha limiti precisi. Quando i dati crescono servono un database vero e un ORM: ecco perché, senza gergo.
Password mai in chiaro: nessun fallback, nessuna scorciatoia
Se un sito riesce a rispedirti la tua password, significa che la conserva in chiaro: un grave rischio. Ecco perché non esistono scorciatoie accettabili.
Frontend senza framework: TypeScript puro e Vite per siti leggeri
I framework non sono obbligatori. Per molti siti, TypeScript puro compilato con Vite dà un risultato più leggero, veloce e facile da mantenere.
Hash delle password con bcrypt: il sito non conosce la tua password
Conservare le password in chiaro è una bomba a orologeria. Con l'hashing (bcrypt) il sito verifica chi sei senza mai conoscere la tua password.
TypeScript o JavaScript? Perché scelgo i tipi per progetti che durano
I tipi non sono burocrazia: sono una rete di sicurezza che intercetta gli errori prima che arrivino all'utente. Ecco quando TypeScript conviene davvero.