Preferiamo mostrartelo piuttosto che dirti «fidati di noi». Qui sotto: cosa succede quando colleghi una banca, chi fa cosa, cosa facciamo nel nostro codice e cosa viene controllato a ogni modifica.
La risposta breve: la password della banca resta alla tua banca, e ClassKasa può solo leggere il conto. Non può spostare denaro.
Tutto quello che c'è in questa pagina possiamo dimostrarlo. Quello che non abbiamo ancora testato, non lo scriviamo.
Quando colleghi una banca
Solo il tesoriere della classe collega un conto della classe, ed è una funzione Premium. I genitori non accedono mai a una banca tramite ClassKasa.
1
La password della banca resta alla tua banca
Accedi sulla pagina della tua banca, raggiunta tramite Enable Banking. ClassKasa non vede e non conserva mai le tue credenziali né la password della banca.
2
I dati li recupera Enable Banking Oy
Enable Banking Oy è un fornitore di servizi di informazione sui conti registrato presso l'autorità finanziaria finlandese (FIN-FSA). Chiede alla tua banca i dati che autorizzi e li passa a ClassKasa.
3
Cosa leggiamo: conto, saldo, movimenti
Nome, valuta e numero del conto, il saldo e i movimenti (importo, data, mittente e causale). È in sola lettura: da qui non si può avviare alcun pagamento né spostare denaro.
4
Per quanto tempo: fino a 90 giorni
Chiediamo alla tua banca 90 giorni di accesso, e la banca può fissare un limite più breve. Guardiamo il conto fino a quattro volte al giorno. Quando l'accesso sta per scadere, ClassKasa ti avvisa così puoi ricollegarti.
5
Scollega quando vuoi
Tocca «Scollega la banca» in fondo alla schermata Banca. ClassKasa smette di leggere e chiede a Enable Banking di chiudere la sessione. Di solito le banche mostrano gli accessi concessi anche nell'home banking, dove puoi rimuoverli. I bonifici già importati restano nella classe finché il tesoriere non elimina lo storico della banca.
ClassKasa si appoggia a pochi fornitori noti. Qui sotto trovi cosa dice ciascuno di sé sulle proprie pagine. Sono le loro dichiarazioni, non le nostre.
1
Enable Banking (collegamento alla banca)
Sul proprio sito dice di essere un fornitore di servizi di informazione sui conti registrato e regolamentato dalla FIN-FSA. Lì non abbiamo trovato un elenco pubblico di certificati, quindi non gliene attribuiamo nessuno.
Questi certificati appartengono ai nostri fornitori. ClassKasa in sé non ha nessun certificato ISO o SOC.
Cosa facciamo nel nostro codice
1
Ogni endpoint ha una regola scritta
Ogni endpoint che invia o riceve dati ha una voce in una tabella dei permessi, e il codice la controlla a ogni richiesta. La nostra build fallisce se arriva un nuovo endpoint senza voce.
2
Le altre classi per te non esistono
Se chiedi qualcosa che appartiene a un'altra classe, ricevi «non trovato», la stessa risposta che si ha per qualcosa che non c'è. Test automatici lo provano apposta.
3
Nessun numero di carta da parte nostra
I pagamenti con carta passano da Stripe. ClassKasa non conserva mai numeri di carta.
4
L'accesso alla banca può solo guardare
Chiediamo alla tua banca soltanto di mostrarci il conto, mai di fare un pagamento. Tramite ClassKasa non si può spostare denaro.
5
Solo HTTPS, più regole per il browser
ClassKasa dice ai browser di usare sempre HTTPS e di rifiutare di essere mostrata dentro i frame di altri siti.
Cosa viene controllato a ogni modifica
Questi controlli automatici girano a ogni modifica al codice dell'app. Ognuno blocca la build quando trova un problema nuovo.
1
Un pentest autorizzato e un secondo attacco
A maggio 2026 (versioni v3.27.0 e v3.27.1, entrambe del 2026-05-29) il titolare ha eseguito un pentest autorizzato di ClassKasa con Claude Code e il toolkit open source pentest-ai-agents. Ha portato a 8 correzioni, 3 delle quali classificate High. Poi ogni attacco è stato rieseguito: le correzioni hanno retto, e in altri 3 punti con lo stesso tipo di bug abbiamo trovato e chiuso la falla, ciascuno con un test automatico che prima falliva e ora passa.
Uno scanner della community OWASP testa una copia in esecuzione dell'app a ogni pull request che modifica il codice, e blocca la build in caso di nuovi risultati.
Cerca schemi di codice rischiosi. Un risultato grave blocca la build.
4
Controllo delle librerie
npm audit blocca la build in caso di vulnerabilità critiche nelle librerie che usiamo, e OSV-Scanner la blocca in caso di nuove vulnerabilità note.
5
Aggiornamenti delle dipendenze
Ogni settimana Dependabot apre pull request raggruppate con gli aggiornamenti delle dipendenze che ha trovato. Gli aggiornamenti patch e quelli di sicurezza vengono uniti automaticamente appena passano i controlli obbligatori; gli aggiornamenti major aspettano sempre una persona. Una routine settimanale riunisce in un'unica pull request ciò che è ancora aperto e ci lavora finché tutti i controlli bloccanti passano.
6
Ricerca di segreti
Gitleaks controlla l'intera cronologia di ogni pull request in cerca di password e chiavi che non dovrebbero esserci, e TruffleHog la controlla in cerca di segreti attivi e verificati. Una segnalazione blocca la build.
7
Test tra classi
49 file di test automatici provano a leggere e modificare i dati di altre classi. Devono ricevere un no.
Niente di tutto questo è un certificato. A parte il pentest qui sopra, sono controlli automatici.
Hai trovato qualcosa? Scrivici
Scrivi a tomek@classkasa.com. Basta una breve nota con i passaggi per riprodurlo. Per favore, non fare prove sulle classi di altre persone. Il nostro contatto è anche in un file leggibile dalle macchine, security.txt.