Progetta e installa un'infrastruttura di sicurezza a 4 livelli dove il cuore (dati e chiavi) è offline e staccato, lo scudo è invisibile agli scanner e il server reale è nascosto. Usare quando l'utente vuole un sistema "chiuso in una scatola", un reverse proxy invisibile, un'alternativa self-hosted a Cloudflare, server nascosto, VPN WireGuard, o backup offline irraggiungibili. Trigger - "fortezza", "scatola chiusa", "offline", "invisibile", "nascosto", "mini cloudflare", "reverse proxy", "air ga
SkillScore83Maintained
Automatic
◆Security & AppSec pack
Last verified 9/25/2026
What it changes
Passed 20 of 24 test cases with the skill, and 6 of 24 without it.
Without skill25%
With skill83%
Checks it passed that the model alone missed
Runs nmap -Pn against the public shield IP address.
States that public HTTP and HTTPS ports must remain reachable.
Specifies Caddy for HTTPS management and HTTP footprint removal.
and 18 more in the full report
14 fixed6 passed either way4 still failing0 broke
Pass-rate lift
+58 pp
Tokens
+26%
Agent turns
0%
Response time
-6%
Model gemini-3.6-flashMeasured 9/25/2026v120 of 24 cases passed with skill
Tokens, turns and time describe resource use, not a dollar price.
See it in action
One of 14 test cases the skill fixed. Same model, same prompt, with and without the skill.
1 of 14
Prompt
Quali script specifici della suite fortezza devono essere eseguiti sul server origine rispettivamente per applicare le regole firewall e per creare la copia di sicurezza cifrata?
What was checked, without and with the skill
Checked
Without skill
With skill
Identifies firewall-origine.sh for origin network firewall configuration.
Missed
Passed
Schedules backup script execution via a nightly cron job on the origin server.
Missed
Passed
case-18 · gemini-3.6-flash · 9/25/2026 · answers are capped and redacted
What's inside
The instructions your model reads when the skill loads.
SKILL.md48 linessingle file
Architettura Fortezza (4 livelli)
Quando l'utente vuole un sistema "blindato" dove il cuore è staccato e lo scudo è
invisibile, proporre e installare questa architettura. I file template completi
(proxy guardian, Caddy, docker-compose, firewall, WireGuard, backup cifrati) sono
in references/fortezza/ dentro questa skill; questa skill spiega come adattarli.
Premessa onesta da dare SEMPRE all'utente
La porta web pubblica non può essere invisibile: se i visitatori la raggiungono,
la raggiunge anche chi attacca. Invisibili possono diventare invece SSH,
l'amministrazione, il server reale e la cassaforte. E i DDoS volumetrici enormi
restano gestibili solo con un CDN/WAF esterno (es. Cloudflare free) davanti allo
scudo. Non promettere "non attaccabile": promettere "superficie ridotta al minimo,
cuore irraggiungibile, dati sempre recuperabili".
Server origine nascosto — sito + DB, nessuna porta pubblica, accetta solo
lo scudo via VPN. L'app ascolta sull'IP VPN, mai esposta dal provider.
WireGuard — rete privata cifrata tra scudo, origine e admin. Non risponde
senza chiave valida → invisibile agli scanner. Solo gli AllowedIPs passano.
Cassaforte offline — air-gapped, custodisce la chiave privata. Backup
cifrati con chiave pubblica (il server cifra ma non può decifrare). La
cassaforte va a prendere i backup (sola andata); il server non la conosce.
Principi di progettazione da rispettare
Minima superficie: ogni livello espone solo ciò che serve al livello accanto.
Conoscenza parziale: ogni macchina conosce solo il vicino, mai l'intera catena.
One-way verso il cuore: nessun percorso che parta dal server e arrivi alla cassaforte.
Cifratura asimmetrica: chi può essere compromesso (il server) ha solo la chiave pubblica.
Silenzio: agli attaccanti non si risponde (stealth), per non dare impronte né feedback.
Difesa in profondità: questa architettura si SOMMA alle altre skill del plugin
(hardening-siti, difesa-attacchi, privacy-pagamenti, autenticazione-sicura), non le sostituisce.
Installazione (ordine)
Cassaforte: generare le chiavi offline (genera-chiavi.sh).