Blocco delle versioni: Tutte le dipendenze sono bloccate su versioni esatte (nessuna versione flottante), prevenendo attacchi di tipo dependency confusion e aggiornamenti imprevisti.

Registry ufficiali: Le dipendenze provengono esclusivamente da fonti ufficiali (Maven Central, PyPI, npm).

Controllo automatico delle vulnerabilità: OWASP Dependency Check (Java), Snyk (Python), npm audit, pip-audit — ad ogni build. Il build fallisce se CVSS ≥ 7.

Conformità alle licenze: Le licenze copyleft (GPL, AGPL, SSPL) sono bloccate da un controllo automatico nei build Python e TypeScript. Poche eccezioni sono documentate per nome, ciascuna con la propria motivazione.

Secret scanning: Ogni commit viene controllato nella pipeline CI per eventuali segreti inseriti accidentalmente.

Registry privata per container: Le immagini Docker sono costruite nella pipeline CI/CD controllata e caricate in una registry privata. Nessun accesso pubblico.

Versioni aggiornate: Java, Spring Boot, Python e Vue sono utilizzati in versioni aggiornate e supportate.