OneCritto per Professionisti

Una cassaforte digitale desktop costruita su un rigoroso threat model offline-first. Per studi professionali, consulenti IT e PMI italiane che custodiscono credenziali, contratti e segreti dei propri clienti — e non possono permettersi di delegarne la custodia a un fornitore cloud.

Per chi è

Le sei figure professionali per cui OneCritto è oggi più adatto in Italia. Ogni profilo ha bisogni e vincoli normativi diversi, ma una stessa esigenza di fondo: tenere i segreti professionali sotto controllo diretto, sul proprio computer di lavoro.

Perché un vault cloud non basta più

Per un consumer un password manager cloud è una scelta ragionevole. Per un professionista che custodisce credenziali altrui, l'aritmetica del rischio è diversa. I quattro problemi strutturali del modello cloud sono:

1. Breach del fornitore. Qualsiasi vendor scegli, erediti la sua postura di sicurezza, i suoi dipendenti, la sua infrastruttura. LastPass 2022 non è un caso isolato, è un esempio del pattern.
2. Compromissione dell'account. Phishing, push-bombing su MFA, furto di session cookie con proxy AiTM. Se compromessi tu, è compromesso tutto il vault condiviso.
3. Subordinazione a normative extra-UE. Vendor USA significa CLOUD Act, possibili subpoena silenziose, conflitti con il GDPR su trasferimenti internazionali (Schrems II).
4. Esposizione contrattuale. Il fornitore cloud è un sub-responsabile del trattamento. Va dichiarato nei DPA verso i clienti, vincolato in DPA verso di te, e ogni suo problema diventa un tuo problema legale.

Come OneCritto risponde, per punti

Un'architettura pragmatica per studi e consulenze

Un modello operativo che funziona bene per piccoli studi e consulenze tecniche italiane:

1. Una vault per cliente — file cliente-rossi.onecritto. Si apre solo quando lavori a quel cliente. Riduce esposizione accidentale (copia-incolla cross-cliente, screen-sharing con vault sbagliato aperto).
2. Una vault "studio" per le credenziali interne (PEC dello studio, gestionale, fornitori).
3. Backup cifrato su due posti diversi. Il file è già cifrato: una chiavetta USB in cassaforte fisica e un disco esterno cifrato a casa sono sufficienti. Anche un cloud storage personale (Google Drive, OneDrive) funziona, perché il file è opaco al fornitore.
4. Rotazione disciplinata. A fine incarico (o cambio scope) ruoti le credenziali toccate, secure-wipe del file e conferma al cliente.
5. Sentinel prima dei rinnovi DPO / audit. Run dell'audit Sentinel su ogni vault, esporta lo score: ti dà un riferimento difendibile in fase di verifica.

E se ho una segreteria o più collaboratori?

I vault locali non sono pensati per editing multi-utente concorrente: è un limite reale, dichiarato. Due pattern funzionano per studi piccoli:

• Custode designato. Una persona possiede ogni vault cliente. I collaboratori richiedono le singole credenziali, condivise out-of-band (messaggio cifrato, di persona) only when needed. Più lento, ma tracciabile.
• Modello a due livelli. Tool cloud team per credenziali a basso impatto (account social, portali secondari). OneCritto locale per le credenziali ad alto impatto: home banking, PEC, root di console, firma digitale. Anche un breach del cloud tier non compromette le credenziali critiche.

Domande frequenti

OneCritto è conforme al GDPR?

OneCritto è un software desktop che cifra i dati esclusivamente sul dispositivo dell'utente. Per definizione non realizza trattamenti in cloud, non introduce sub-responsabili e non comporta trasferimenti extra-UE. L'utente resta titolare e custode unico del trattamento. La conformità complessiva dipende ovviamente anche dalle policy organizzative dello studio (formazione, registri, gestione data breach interni).

Cosa succede se perdo la password master?

Nessuno può recuperare il vault, neanche noi. È il modello di sicurezza. Si raccomanda di scegliere una password master forte ma memorizzabile (es. una passphrase di 4-5 parole), eventualmente conservarne una copia cartacea in cassaforte fisica, e trattare la sua perdita come un rischio reale da pianificare con backup regolari del file .onecritto.

Come faccio i backup?

Il vault è un singolo file cifrato. Lo copi dove vuoi: chiavetta USB, disco esterno, NAS, o anche un cloud storage personale (il file è opaco al fornitore). Strumenti di backup versionato funzionano senza configurazioni speciali — è solo un file binario.

Posso usarlo su più computer?

Sì, ma manualmente: il file .onecritto è portabile. Copialo su chiavetta USB o disco esterno e aprilo da un altro computer. Non c'è sync automatico — è una scelta di design, non un'omissione. Per la maggior parte dei professionisti la postazione di lavoro è una sola.

C'è un'app per smartphone?

No, e non è in roadmap. Il telefono personale non è un endpoint adatto a custodire credenziali professionali dei clienti, e non vogliamo dare l'illusione contraria. Se hai bisogno di password personali sul telefono, è più sano usare un vault separato e dedicato (anche di un altro prodotto).

Quanto costa?

OneCritto è gratuito e open source. Nessun abbonamento, nessuna licenza annuale, nessun premium tier a pagamento. Il progetto si sostiene tramite partnership professionali e contributi, non tramite SaaS ricorrente.

Approfondimenti correlati

• Come conservare le password senza cloud (2026)
• Password manager offline: perché un vault locale è più sicuro
• Password manager senza abbonamento
• Password manager per Linux