registry: ADR-P38 whitepaper tecnico — EVD-whitepaper-integrity attiva

Registrato il whitepaper pubblicato (P38): ADR-P38 con il contesto
completo (fasi 0-5, fact-check F2, revisione punto-per-punto del gestore
in F3 incluso il controllo diretto su EUR-Lex, chiusura circolare via
dogfooding). Nuova evidenza automatica EVD-whitepaper-integrity nel
collettore settimanale: scarica whitepaper-v1.0.pdf dalla URL live,
ricalcola lo SHA-256 e verifica che coincida con l'impronta attestata —
rileva sia corruzione/alterazione sia mancato deploy. Nessun nuovo
controllo inventato: il whitepaper è documentazione, non un controllo di
sicurezza (design doc §4 FASE 5). Score 91→92/100 (10/10 indicatori),
onesto: un'evidenza automatica in più migliora leggermente il rapporto di
Automazione.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

Author: maxalone

generators/collect-evidence.mjs

@@ -61,6 +61,18 @@ async function fetchText(url, headers = {}) {
   }
 }
 
+// Come fetchText ma per contenuto binario (PDF): serve per ricalcolare
+// l'impronta del file effettivamente servito, non del file committato.
+async function fetchBytes(url, headers = {}) {
+  try {
+    const res = await fetch(url, { headers, signal: AbortSignal.timeout(15000) });
+    if (!res.ok) return { ok: false, status: res.status, url };
+    return { ok: true, bytes: Buffer.from(await res.arrayBuffer()), url };
+  } catch (e) {
+    return { ok: false, error: e.message, url };
+  }
+}
+
 // Aggiorna last_seen con una sostituzione mirata sul testo grezzo, non un
 // dump YAML completo: preserva formattazione, commenti e ordine dei campi
 // del file esistente (un dump js-yaml li riscriverebbe tutti).
@@ -279,6 +291,18 @@ async function main() {
     if (securityTxtOk) evdHits.add("EVD-security-txt");
   }
 
+  // EVD-whitepaper-integrity (P38): il PDF pubblicato deve restare
+  // bit-per-bit identico all'impronta attestata (ADR-P38) — è dichiarato
+  // immutabile per design. GET, non HEAD (stesso gotcha di rete di sopra).
+  {
+    const WHITEPAPER_SHA256 = "898ec96815e6bee1f85f93651fb64b6d1ad289510f4ac2fd9fbaa92fe01de452";
+    const pdfRes = await fetchBytes("https://trust.spaziogenesi.org/whitepaper-v1.0.pdf");
+    const liveHash = pdfRes.ok ? sha256(pdfRes.bytes) : null;
+    const matches = liveHash === WHITEPAPER_SHA256;
+    results["whitepaper-integrity"] = { ok: pdfRes.ok, sha256: liveHash, expected: WHITEPAPER_SHA256, matches };
+    if (matches) evdHits.add("EVD-whitepaper-integrity");
+  }
+
   const manifest = { collected_at: today.toISOString(), week, files: {} };
   for (const [name, data] of Object.entries(results)) {
     const filename = `${name}.json`;

registry/decisions/ADR-P38.yaml

@@ -0,0 +1,72 @@
+id: ADR-P38
+title: "P38 — Whitepaper tecnico pubblico: architettura, garanzie e limiti"
+date: 2026-07-21
+status: accepted
+context: >
+  Secondo lavoro adottato dall'analisi esterna sulla roadmap del 21/07
+  (`img-auth-hub/VALUTAZIONE-analisi-esterna-roadmap-2026-07-21.md` §2.2,
+  "la voce di maggior valore"): mancava un documento tecnico pubblico che
+  spiegasse con rigore che cosa il sistema di attestazione garantisce, con
+  quali meccanismi, e — con lo stesso peso — che cosa non garantisce.
+  Pubblico di riferimento: prestatori di servizi fiduciari, CDA e
+  assemblea dell'ente, accademie e partner convenzionati, revisori esterni
+  indipendenti, ricercatori e sviluppatori.
+decision: >
+  Pubblicato `whitepaper-v1.0.pdf` (18 pagine, licenza CC BY 4.0, autore
+  "Spazio Genesi ETS") su trust.spaziogenesi.org, con pagina di
+  accompagnamento `whitepaper.html` (abstract EN+IT, indice, download,
+  impronta SHA-256, storia delle revisioni). Sorgente Markdown pubblico e
+  versionato in questo stesso repository (`docs/whitepaper/`), con mappa
+  completa claim→fonte in `FONTI.md` per ogni affermazione tecnica.
+
+  Contenuto: flusso end-to-end e sei canali di attestazione; le tre àncore
+  temporali indipendenti (HMAC, marca RFC 3161/AATL, ancoraggio Bitcoin) e
+  la loro analisi di indipendenza; un modello di minaccia esplicito
+  (avversari, mitigazioni, residui accettati — incluso il caso reale
+  dell'audit iniziale che trovò e portò a correggere una falsificabilità,
+  citato come prova di metodo, non nascosto); i fondamenti crittografici
+  di SHA-256 (le tre proprietà distinte e a chi servono, stato dell'arte
+  verificato su fonti pubbliche datate, cosa accadrebbe in caso di
+  indebolimento futuro); una sezione limiti dichiarati che è la più estesa
+  del documento (identità self-signed, metadati auto-dichiarati, impronta
+  dal client, chiave HMAC singola, risoluzione di 30 minuti dello storico
+  di stato); il posizionamento onesto rispetto a eIDAS (riusando il testo
+  già validato del Trust Center) e rispetto a C2PA/Content Credentials
+  (complementare, non concorrente — nessuna adozione in questa versione,
+  con le ragioni esplicitate).
+
+  Processo: fasi 0-1 di ricognizione e assemblaggio da materiale esistente
+  (Sonnet), fase 2 di stesura delle sezioni tecniche nuove e fact-check
+  completo del documento (Opus) — cinque errori corretti, tutti dello
+  stesso tipo (overclaim per generalizzazione: un'affermazione vera in un
+  caso presentata come vera in tutti). La revisione del gestore (fase 3)
+  si è svolta punto per punto in chat, non come approvazione in blocco:
+  il gestore ha verificato di persona sul testo consolidato di EUR-Lex i
+  tre riferimenti eIDAS citati (articoli 25, 41, 46), confermandone numeri
+  e sostanza e affinando la formulazione sulla presunzione di legge
+  riservata alle sole marche temporali qualificate. Su sua richiesta è
+  stato aggiunto un paragrafo che dichiara la natura di ente del terzo
+  settore senza scopo di lucro come ragione strutturale coerente con le
+  scelte di trasparenza del documento — bilanciata esplicitamente
+  ("nessuna forma giuridica garantisce l'onestà di per sé") per non
+  scivolare in materiale promozionale, cosa che il documento esclude fin
+  dalla prima riga.
+
+  Chiusura circolare: il PDF pubblicato è stato a sua volta attestato sul
+  servizio che descrive (stesso pattern del bundle mensile di evidenze,
+  ADR-GTF-008) — pagina pubblica di verifica
+  https://attestazione.spaziogenesi.org/c/898ec96815e6bee1f85f93651fb64b6d1ad289510f4ac2fd9fbaa92fe01de452.
+consequences: >
+  Un lettore tecnico scettico può verificare da sé ogni affermazione del
+  documento: leggendo il codice pubblico e il registro citati, ricalcolando
+  l'impronta del PDF, e confrontando la pagina di verifica pubblica. Il
+  file `whitepaper-v1.0.pdf` è ora immutabile per design (la sua impronta è
+  attestata): eventuali correzioni future generano una nuova versione
+  numerata, mai una sostituzione silenziosa. Nessun cambio di architettura
+  o di controllo di sicurezza: il whitepaper descrive il sistema esistente,
+  non lo modifica — `ARCHITECTURE.md` non è stato toccato. Zero modifiche a
+  imgauth/authweb: l'unica interazione con il servizio di produzione è
+  stata l'attestazione stessa (dogfooding), eseguita dal gestore dal sito
+  con Turnstile umano.
+evidence: [EVD-whitepaper-integrity]
+visibility: public

registry/evidence/EVD-whitepaper-integrity.yaml

@@ -0,0 +1,15 @@
+id: EVD-whitepaper-integrity
+title: "Il whitepaper pubblicato coincide, byte per byte, con l'impronta attestata"
+location: { system: gtf-site, ref: "GET https://trust.spaziogenesi.org/whitepaper-v1.0.pdf", public_via: "GET /c/898ec96815e6bee1f85f93651fb64b6d1ad289510f4ac2fd9fbaa92fe01de452 (pagina pubblica di verifica su attestazione.spaziogenesi.org)" }
+collection: auto
+freshness_max_days: 8
+last_seen: 2026-07-21
+integrity: >
+  Raccolta settimanale (collect-evidence.mjs): GET (mai HEAD, memoria
+  gtf-collector-network-gotchas) del PDF pubblicato, ricalcolo dello
+  SHA-256 in locale e confronto con l'impronta attestata
+  (898ec96815e6bee1f85f93651fb64b6d1ad289510f4ac2fd9fbaa92fe01de452,
+  ADR-P38). Rileva sia un file corrotto/alterato sia un mancato deploy;
+  non riverifica la firma HMAC né la prova OpenTimestamps del certificato
+  stesso (verificabili a mano sulla pagina pubblica).
+visibility: public

site/badge.svg

@@ -138,13 +138,13 @@ <h1>Il registro della fiducia di Spazio Genesi ETS</h1>
         <tr class="is-counted is-partial" title="sonda HMAC (componente &quot;worker&quot;, snapshot 2026-W30) + ancoraggi dogfooding onorati (1/1 mesi da 2026-07) + repo con tag di release (3/3) — proxy iniziale, non ancora la quota storica di versioni taggate"><td class="ledger-label">Integrità *</td><td class="ledger-value">100</td></tr>
         <tr class="is-counted"><td class="ledger-label">Tracciabilità</td><td class="ledger-value">100</td></tr>
         <tr class="is-counted"><td class="ledger-label">Documentazione</td><td class="ledger-value">100</td></tr>
-        <tr class="is-counted"><td class="ledger-label">Automazione</td><td class="ledger-value">61</td></tr>
+        <tr class="is-counted"><td class="ledger-label">Automazione</td><td class="ledger-value">63</td></tr>
         <tr class="is-counted is-partial" title="revisione: ultima il 2026-07-19 (2/90 giorni); ACT: nessuna ancora risolta"><td class="ledger-label">Audit *</td><td class="ledger-value">100</td></tr>
         <tr class="is-counted is-partial" title="snapshot 3/8 settimane + drill: riuscito il 2026-07-19 (2 giorni fa)"><td class="ledger-label">Conservazione *</td><td class="ledger-value">69</td></tr>
         <tr class="is-counted"><td class="ledger-label">Riproducibilità</td><td class="ledger-value">97</td></tr>
         <tr class="is-counted is-partial" title="scanner su imgauth@v1.24.0: 10/10 flussi mappati a un DAT (4 falsi positivi dichiarati esclusi) — non copre repo client (es. bot Telegram)"><td class="ledger-label">Privacy *</td><td class="ledger-value">100</td></tr>
         <tr class="is-counted is-partial" title="validate 30/30 + gate 16/20 — quota PR esclusa (maintainer singolo, ADR-GTF-011)"><td class="ledger-label">Governance *</td><td class="ledger-value">90</td></tr>
-          <tr class="ledger-total"><td class="ledger-label">Saldo</td><td class="ledger-value">91<span class="unit">/100</span></td></tr>
+          <tr class="ledger-total"><td class="ledger-label">Saldo</td><td class="ledger-value">92<span class="unit">/100</span></td></tr>
         </tbody>
       </table>
       <p class="ledger-note">10 di 10 indicatori disponibili — i restanti non sono stimati: restano <em>n/d</em> finché non esisteranno i dati per calcolarli davvero. * = valore parziale, passa il mouse per i dettagli. <a href="https://github.com/SPAZIO-GENESI/gtf/tree/main/registry/metrics">Formula di ciascuno</a>.</p>
@@ -689,6 +689,15 @@ <h3>Modifica deployata in produzione senza mai essere stata osservata &quot;dal
   <section id="decisioni" class="folio" data-folio="ADR">
     <h2>Decisioni</h2>
     <div class="journal">
+      <details class="entry">
+        <summary><span class="entry-date">2026-07-21</span><span class="entry-title">P38 — Whitepaper tecnico pubblico: architettura, garanzie e limiti</span><span class="entry-status">accepted</span></summary>
+        <div class="entry-body">
+          <p>Secondo lavoro adottato dall'analisi esterna sulla roadmap del 21/07 (`img-auth-hub/VALUTAZIONE-analisi-esterna-roadmap-2026-07-21.md` §2.2, &quot;la voce di maggior valore&quot;): mancava un documento tecnico pubblico che spiegasse con rigore che cosa il sistema di attestazione garantisce, con quali meccanismi, e — con lo stesso peso — che cosa non garantisce. Pubblico di riferimento: prestatori di servizi fiduciari, CDA e assemblea dell'ente, accademie e partner convenzionati, revisori esterni indipendenti, ricercatori e sviluppatori.</p>
+          <p><strong>Decisione:</strong> Pubblicato `whitepaper-v1.0.pdf` (18 pagine, licenza CC BY 4.0, autore &quot;Spazio Genesi ETS&quot;) su trust.spaziogenesi.org, con pagina di accompagnamento `whitepaper.html` (abstract EN+IT, indice, download, impronta SHA-256, storia delle revisioni). Sorgente Markdown pubblico e versionato in questo stesso repository (`docs/whitepaper/`), con mappa completa claim→fonte in `FONTI.md` per ogni affermazione tecnica. Contenuto: flusso end-to-end e sei canali di attestazione; le tre àncore temporali indipendenti (HMAC, marca RFC 3161/AATL, ancoraggio Bitcoin) e la loro analisi di indipendenza; un modello di minaccia esplicito (avversari, mitigazioni, residui accettati — incluso il caso reale dell'audit iniziale che trovò e portò a correggere una falsificabilità, citato come prova di metodo, non nascosto); i fondamenti crittografici di SHA-256 (le tre proprietà distinte e a chi servono, stato dell'arte verificato su fonti pubbliche datate, cosa accadrebbe in caso di indebolimento futuro); una sezione limiti dichiarati che è la più estesa del documento (identità self-signed, metadati auto-dichiarati, impronta dal client, chiave HMAC singola, risoluzione di 30 minuti dello storico di stato); il posizionamento onesto rispetto a eIDAS (riusando il testo già validato del Trust Center) e rispetto a C2PA/Content Credentials (complementare, non concorrente — nessuna adozione in questa versione, con le ragioni esplicitate). Processo: fasi 0-1 di ricognizione e assemblaggio da materiale esistente (Sonnet), fase 2 di stesura delle sezioni tecniche nuove e fact-check completo del documento (Opus) — cinque errori corretti, tutti dello stesso tipo (overclaim per generalizzazione: un'affermazione vera in un caso presentata come vera in tutti). La revisione del gestore (fase 3) si è svolta punto per punto in chat, non come approvazione in blocco: il gestore ha verificato di persona sul testo consolidato di EUR-Lex i tre riferimenti eIDAS citati (articoli 25, 41, 46), confermandone numeri e sostanza e affinando la formulazione sulla presunzione di legge riservata alle sole marche temporali qualificate. Su sua richiesta è stato aggiunto un paragrafo che dichiara la natura di ente del terzo settore senza scopo di lucro come ragione strutturale coerente con le scelte di trasparenza del documento — bilanciata esplicitamente (&quot;nessuna forma giuridica garantisce l'onestà di per sé&quot;) per non scivolare in materiale promozionale, cosa che il documento esclude fin dalla prima riga. Chiusura circolare: il PDF pubblicato è stato a sua volta attestato sul servizio che descrive (stesso pattern del bundle mensile di evidenze, ADR-GTF-008) — pagina pubblica di verifica <a href="https://attestazione.spaziogenesi.org/c/898ec96815e6bee1f85f93651fb64b6d1ad289510f4ac2fd9fbaa92fe01de452" target="_blank" rel="noopener">https://attestazione.spaziogenesi.org/c/898ec96815e6bee1f85f93651fb64b6d1ad289510f4ac2fd9fbaa92fe01de452</a>.</p>
+          <p><strong>Conseguenze:</strong> Un lettore tecnico scettico può verificare da sé ogni affermazione del documento: leggendo il codice pubblico e il registro citati, ricalcolando l'impronta del PDF, e confrontando la pagina di verifica pubblica. Il file `whitepaper-v1.0.pdf` è ora immutabile per design (la sua impronta è attestata): eventuali correzioni future generano una nuova versione numerata, mai una sostituzione silenziosa. Nessun cambio di architettura o di controllo di sicurezza: il whitepaper descrive il sistema esistente, non lo modifica — `ARCHITECTURE.md` non è stato toccato. Zero modifiche a imgauth/authweb: l'unica interazione con il servizio di produzione è stata l'attestazione stessa (dogfooding), eseguita dal gestore dal sito con Turnstile umano.</p>
+          <p class="tag-line"><span class="tag">ADR-P38</span></p>
+        </div>
+      </details>
       <details class="entry">
         <summary><span class="entry-date">2026-07-21</span><span class="entry-title">P37 — security.txt (RFC 9116) e policy di responsible disclosure</span><span class="entry-status">accepted</span></summary>
         <div class="entry-body">

site/index.html

@@ -1,5 +1,5 @@
 {
-  "overall": 91,
+  "overall": 92,
   "available_count": 10,
   "total": 10,
   "indicators": [
@@ -27,7 +27,7 @@
     {
       "id": "MET-automation",
       "label": "Automazione",
-      "value": 61
+      "value": 63
     },
     {
       "id": "MET-audit",
@@ -59,5 +59,5 @@
       "note": "validate 30/30 + gate 16/20 — quota PR esclusa (maintainer singolo, ADR-GTF-011)"
     }
   ],
-  "computed_at": "2026-07-21T19:28:23.685Z"
+  "computed_at": "2026-07-21T19:32:42.017Z"
 }

site/score.json

@@ -2,7 +2,7 @@
   "ok": true,
   "url": "https://imgauth.spaziogenesi.org/admin",
   "status": 302,
-  "location": "https://spaziogenesi.cloudflareaccess.com/cdn-cgi/access/login/imgauth.spaziogenesi.org?kid=0198c31335d851e679a7f3618e3a7769748297b9156060f338ec03f4d6a32e3e&meta=eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsImtpZCI6IjU3ZGE2MjIxNzE5ODA5NjlkZGFiYzQ1YjQyZTMxYTcwN2E3YjZhZGQ5NDk4ZWFiNjI4NmZhN2Q0NTU5ZmNlZjAifQ.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.voTJatjWxB8cec8rLoOwQWAvvZoN7yKcJofnTufaiiu5Rx5r5SMFC_HKMtqCJY0SNXOIxbotU4TxPUtz8BUMPwJZHFIZrzrOL-4LHHld9jWjAR-dipfXs9op53N8RSPDVpo948PQgRVdXICUR9Ty22Kb-wpTuGBD-kw90ER_Wf2wIMK3aYfIasxLqt7O_xp08XB8uGHtDzeSBp8qRapR4ltyaDxGmWV_WA3dJDfNQZhxypW4zvUG2vuOtZZiDosXT9Du3WRQaHVXD-lZFr8U3pxOXQPZsdlAbiurZxufnuaUlYGAp3ZrCMKOlkeNSTjPLj6riVbLhkB0NkFkmsAp0A&redirect_url=%2Fadmin",
+  "location": "https://spaziogenesi.cloudflareaccess.com/cdn-cgi/access/login/imgauth.spaziogenesi.org?kid=0198c31335d851e679a7f3618e3a7769748297b9156060f338ec03f4d6a32e3e&meta=eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsImtpZCI6IjU3ZGE2MjIxNzE5ODA5NjlkZGFiYzQ1YjQyZTMxYTcwN2E3YjZhZGQ5NDk4ZWFiNjI4NmZhN2Q0NTU5ZmNlZjAifQ.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.hX8VFloy8a6AxCa4tEGqJ7J1N9KGcuQ_P1Q41I9N2OG23aOnrfqPtKIf33TKUvnya08myD3DK66Ad_xAlWpPvxYvYxqmsxvS2xWR6rTpFG6E7LcEczRn5_6bo6pY9d3jhfC0vSgYtrgd-su-l7PwfBTPgG-0vzAegXoaY3SiDdM5n381ZE_BSMjEf4l1cinWrvBPjZ9oSWYpE3xTm0fBnolPcSdPb_7hTzMXctjV-o8PXERrhLjrSrbPJ7HQlcfG58hg-77PR8vWElS2NsI-ZLdUl34D0E-E07WImWGWYTHrBdjV7TZfB4F9-ZHMYC84UKaCHQEgNNjl0xX5HyPQPg&redirect_url=%2Fadmin",
   "headers": {
     "content-security-policy": "default-src 'self' https: data: blob:; script-src 'self' https:; style-src 'self' https: 'unsafe-inline'; img-src 'self' https: data: blob:; font-src 'self' https: data:; connect-src 'self' https: wss:; media-src 'self' https: blob:; worker-src 'self' blob:; frame-src 'self' https:; object-src 'none'; base-uri 'self'; form-action 'self' https:; frame-ancestors 'self'; upgrade-insecure-requests",
     "strict-transport-security": "max-age=31536000; includeSubDomains",