Cookie

In breve

Non usiamo cookie pubblicitari, di tracciamento o di analisi e non consentiamo cookie di terze parti di questo tipo. Usiamo solo cookie senza i quali l’accesso e la sicurezza non possono funzionare; per questo non chiediamo il consenso e non mostriamo un banner dei cookie. Puoi eliminarli dalle impostazioni del browser; dovrai poi accedere di nuovo.

I nostri cookie

• __Host-hw_session — la tua sessione dopo l’accesso: un identificativo casuale (il server ne conserva solo l’hash). HttpOnly, Secure, SameSite=Lax. Valido 30 giorni dall’ultima attività, al massimo 90 giorni.
• hw_dev — un identificativo casuale del browser (non un dato di accesso) usato per riconoscere un accesso da un nuovo dispositivo e avvisarti di un accesso sconosciuto. HttpOnly, SameSite=Lax. 400 giorni.
• hw_login_attempt — collega il codice di accesso al browser che lo ha richiesto, così che il codice non possa essere usato altrove. HttpOnly, SameSite=Strict, solo per l’indirizzo di accesso. 10 minuti.
• hw_admin — solo per gli amministratori di HomesWallet (indirizzo /api/admin), 12 ore. I clienti non lo ricevono mai.
• Cloudflare — all’accesso la verifica Turnstile (challenges.cloudflare.com) e la rete di Cloudflare possono scrivere o leggere dati necessari alla protezione dai bot, secondo le regole di Cloudflare.

La protezione contro le richieste contraffatte (CSRF) non usa cookie, ma un’intestazione speciale in ogni richiesta e un controllo della sua origine.

L’archiviazione locale del browser

L’app conserva sul tuo dispositivo (non ci viene inviato):

• IndexedDB hw-vault-<numero> — la copia crittografata dei dati del nucleo familiare e le modifiche in attesa per l’uso offline;
• IndexedDB homeswallet-keys — con “Memorizza questo dispositivo”: una chiave del dispositivo non esportabile e la tua chiave sigillata con essa;
• IndexedDB homeswallet-pins, homeswallet-trust, homeswallet-applock — i codici di sicurezza che hai confermato, lo stato di fiducia e i dati del PIN dell’app;
• localStorage — la lingua (homeswallet.lang), una proposta di lingua rifiutata, le schede nascoste nell’app, il codice di sicurezza di un link di invito, un codice di invito con premio (hw_ref) e un accesso in corso (hw_login_pending, 10 minuti);
• localStorage — i giorni per i quali l’app ha già inviato i conteggi sulla precisione delle categorie (hw:cat-accuracy), per non inviarli di nuovo;
• sessionStorage — dove portarti dopo l’accesso, i messaggi nascosti per la sessione e un avviso sulla fine della sessione;
• Cache Storage — i file dell’app (service worker) per un caricamento rapido e l’uso offline, senza dati personali.

L’uscita chiude la sessione, ma la copia crittografata resta perché il dispositivo possa essere sbloccato di nuovo. Per rimuovere la copia locale e le chiavi da un dispositivo, scegli “Cancella i dati sul dispositivo” in Impostazioni → Dispositivi da un altro tuo dispositivo, oppure cancella i dati del sito dalle impostazioni del browser. La lingua è salvata anche nel tuo account, così è la stessa su tutti i dispositivi.