ago 2026
Audit dell’architettura di Chatwoot
14 agenti specializzati e 3 verificatori indipendenti hanno testato un help desk open source prima di un fork previsto
- CRM e dati
- Ricerca tecnica
- Durata
- 1 mese
- Azienda
- Epsilon Solutions
- Ruolo
- Progettazione del metodo di ricerca e sua conduzione
Panoramica
Un audit misurato di Chatwoot 4.16.2, l’help desk open source, svolto prima di un fork previsto per farne una piattaforma di chat omnicanale propria di Epsilon. Quattordici agenti specializzati hanno verificato 14 ipotesi sulla sua architettura e sulla sua sicurezza, e 3 agenti verificatori indipendenti hanno rivalutato ogni rilievo.
Strumenti
- Docker
- PostgreSQL
- Claude Code
Prove prima di un fork
Epsilon intendeva fare un fork di Chatwoot per creare una propria piattaforma omnicanale, sul modello di Respond.io. Prima di impegnarsi servivano prove e non opinioni: come si comporta una base di codice di circa 250.000 righe di front end e 67.000 di back end su scala piccola, media e grande, e quanto è sicura.
Uno strato per agente
Chatwoot girava in locale su Docker Compose con un database popolato. Ogni agente Claude Code ha preso uno strato, con un brief che funzionava da contratto: lo stato del front end, la type safety, il dispatch degli eventi, i callback dei modelli, l’overlay enterprise, il realtime ActionCable, il carico su Postgres, le code Sidekiq, l’avvio dei container e il bundle i18n, oltre ad autorizzazione, isolamento dei tenant, dipendenze, superficie di injection e sfruttabilità effettiva.
Verificato alla cieca
Tre agenti verificatori che non avevano mai visto le ipotesi di partenza hanno rivalutato ogni rilievo attraverso tre lenti: correttezza, scala e alternative. Una sintesi ha poi classificato i rischi separatamente per ciascuna fascia di scala ed elencato i limiti del metodo stesso.
Risultato
L’audit ha prodotto 42 rilievi: 31 confermati, 8 ridimensionati e 3 contestati, e gli agenti stessi hanno confutato 4 delle 14 ipotesi di partenza. I principali rischi su larga scala erano il throttling globale delle richieste per IP dietro un proxy, il pool di worker di ActionCable durante le ondate di riconnessioni e un bundle di traduzioni della dashboard da 13,14 MB.