Ciao a tutti,
stiamo lavorando su un’integrazione con la banca dati ANAC (dati.anticorruzione.it) per importare dati sugli appalti pubblici nella nostra piattaforma. Fino alla settimana scorsa l’integrazione funzionava regolarmente, ma da qualche giorno abbiamo riscontrato un blocco sistematico delle chiamate alle API.
Dopo alcune verifiche, abbiamo scoperto che il WAF di ANAC non blocca semplicemente gli IP geograficamente non italiani, ma blocca tutti i range IP appartenenti a cloud provider (come AWS), indipendentemente dalla loro localizzazione geografica. Ad esempio, un’istanza AWS nella regione eu-south-1 (Milano) con IP geograficamente italiano riceve ugualmente un HTTP 403, mentre lo stesso endpoint risponde correttamente da un IP residenziale italiano.
Abbiamo inviato una segnalazione via PEC a protocollo@pec.anticorruzione.it (ricevuta solo conferma di protocollazione, nessuna risposta di merito)
Abbiamo verificato che il blocco riguarda i range IP cloud in generale, non solo specifiche aree geografiche
Dal punto di vista normativo, un blocco basato esclusivamente sull’ASN/provider del cloud solleva alcune perplessità: non risulta alcuna base giuridica che obblighi una PA a limitare l’accesso ai propri servizi digitali in base all’infrastruttura tecnica dell’utente. Le linee guida AgID sull’accessibilità spingono verso la massimizzazione dell’accesso, non verso barriere tecniche arbitrarie. Un accesso ristretto dovrebbe basarsi sull’identità (es. SPID/CIE/eIDAS), non su caratteristiche dell’IP.
Qualcuno ha riscontrato lo stesso problema con l’endpoint di ANAC o con altre PA?
Esiste un canale di segnalazione tecnica più diretto della PEC istituzionale?
Qualcuno è riuscito a trovare un workaround legittimo o un’API che permette di recuperare i bandi cig per ente?
C’è interesse a fare una segnalazione coordinata, magari tramite AgID o il Dipartimento per la trasformazione digitale?
Grazie in anticipo a chiunque abbia esperienza o suggerimenti su questo tema.
