1 files changed, 56 insertions, 4 deletions

diff --git a/content/it/hardenedpass/reference/security/index.md b/content/it/hardenedpass/reference/security/index.md
index 7b8cd2b..aef0f43 100644
--- a/content/it/hardenedpass/reference/security/index.md
+++ b/content/it/hardenedpass/reference/security/index.md
@@ -1,13 +1,65 @@
 +++
 title = "Sicurezza"
 date = 2026-11-05T00:00:00Z
-description = ""
+description = "Cosa protegge HardenedPass, dove sta ogni segreto, cosa invia in rete e quali minacce non copre."
 weight = 100
 draft = true
 +++
 
-Placeholder.
+Questa pagina dice cosa fa l'app per te e, altrettanto importante, cosa non fa.
 
-## First heading
+## Dove stanno i tuoi segreti
 
-Text.
+| Segreto | Dove sta | Come è protetto |
+|---|---|---|
+| Voci | File nella memoria privata dell'app e sul tuo server git | OpenPGP, come `pass` su un computer |
+| Chiave privata OpenPGP | Memoria privata dell'app | La sua passphrase |
+| Passphrase della chiave | Da nessuna parte, a meno che attivi la memorizzazione | Se memorizzata: AES-GCM con una chiave Android Keystore |
+| Password di git e del proxy | Memoria privata dell'app, se le fai ricordare | AES-GCM con una chiave Android Keystore |
+| Chiave SSH creata sul telefono | Android Keystore | Il sistema, più il blocco schermo se lo richiedi |
+| Chiave SSH importata | Memoria privata dell'app | La sua passphrase, se ne ha una |
+
+Le chiavi di Android Keystore sono custodite dal sistema e non si possono copiare fuori dal
+telefono, nemmeno dall'app che le usa.
+
+## Cosa fa l'app
+
+- **Nessuna telemetria.** Niente analytics, niente report di crash, niente Google Play
+  Services. L'app si collega solo al server git che hai configurato, e al proxy se ne
+  hai impostato uno.
+- **Blocca gli screenshot dei segreti.** Voci, editor, generatore, finestre della
+  passphrase e finestre della compilazione automatica non si possono catturare con uno
+  screenshot e non appaiono tra le app recenti.
+- **Pulisce gli appunti.** Una password copiata viene rimossa dopo un timeout.
+- **Controlla il server SSH.** La chiave host del server viene salvata alla prima
+  connessione e controllata in seguito. La prima connessione viene accettata senza
+  chiedere, quindi falla da una rete di cui ti fidi.
+- **Si fida solo dei browser noti.** La compilazione automatica funziona solo nei browser
+  di cui l'app riconosce il certificato di firma, e ti avvisa se l'editore di un'app
+  cambia. Vedi [Autofill]({{< relref "/hardenedpass/using/autofill" >}}).
+- **Rifiuta i file esterni.** Altre app possono aprire l'app, ma questa apre solo percorsi
+  che stanno davvero dentro il tuo archivio.
+
+## Da cosa l'app non ti protegge
+
+- **Un telefono compromesso.** Un malware che controlla un telefono sbloccato vede quello
+  che vedi tu. Tieni aggiornato il sistema.
+- **La tua tastiera.** Un'app tastiera vede tutto quello che digiti, passphrase compresa.
+  Usane una di cui ti fidi, senza accesso alla rete se il sistema lo permette.
+- **Altre app che leggono gli appunti** prima che scada il timeout. La compilazione
+  automatica evita del tutto gli appunti.
+- **Una passphrase debole.** Se qualcuno ottiene il file della chiave, la passphrase è
+  tutto quello che resta.
+- **Il server git che vede i nomi.** I nomi di voci e cartelle sono nomi di file, non sono
+  cifrati, quindi il server li può leggere, insieme alle date dei commit.
+- **Il blocco biometrico come cifratura.** **Abilita autenticazione biometrica** è un
+  cancello all'avvio dell'app. Ferma chi ha in mano per un attimo il tuo telefono sbloccato,
+  ma non cifra nulla.
+- **La perdita della chiave.** Nessuno può recuperare un archivio senza chiave privata e
+  passphrase.
+
+## Memorizzare la passphrase
+
+È comodo, ma finché la passphrase è memorizzata chiunque entri nell'app sbloccata può aprire
+ogni voce. La funzione è sperimentale. Se la usi, attiva anche **Cancella automaticamente le
+frasi segrete memorizzate**.