ARCHIVIO · TUTTI I PEZZI
Articoli
Pezzi scritti a mano su cose successe davvero: un difetto trovato, la misura che l'ha smascherato, cosa è cambiato dopo. La casa canonica è qui, le copie stanno altrove.
Node 22.22 esegue TypeScript. Il Node 22.22 di Ubuntu no.
Il type stripping è attivo di default da Node 22.18. Sul mio server Ubuntu i test che importano file .ts fallivano mentre la CI passava, a parità di versione major. La versione era giusta. La build no.
Una settimana di run verdi, e la pipeline aspettava me
La pipeline del magazine è girata ogni mattina per una settimana e ha risposto success ogni volta. Dal primo del mese non aveva prodotto niente, perché era ferma a un gate che posso aprire solo io, e nessuno dei miei allarmi considera quello uno stato da segnalare.
Una CSP a hash non ha spazio per un syntax highlighter
La mia Content Security Policy ammette gli script per hash esatto e nient'altro. Funziona benissimo finché un plugin di Markdown non decide di colorarti il codice con stili inline, e lì scopri quanto costa davvero la policy.
Ho fatto un pentest al mio hub AI e ho pubblicato il metodo, non la mappa
Un audit in sola lettura del mio stack di osservabilità, condotto come un ingaggio vero. Quasi ogni cosa seria che ha trovato stava dentro una difesa scritta poche ore prima, e la peggiore stava dentro le prove che uso per dimostrare che le difese funzionano.
Cross-posting su dev.to senza regalare la SEO
Il tag canonical non è la parte difficile. La parte difficile è che il tuo sito deve esistere, ed essere datato, prima della copia. Ho sbagliato quell'ordine una volta e lo specchio è finito sette giorni più vecchio dell'originale.
Ho aperto il sito a tutti i crawler IA. Un mese dopo non so quante persone mi hanno letto
Cloudflare mi ha fatto i complimenti per 33.561 pageview. Il piano gratuito non separa gli umani dai bot, e i bot li ho invitati io. Ecco cosa ho misurato davvero, e il contatore che ho scritto per smettere di tirare a indovinare.
Il mio quality gate non era severo. Era morto.
Un gate LLM-as-a-judge bocciava ogni PR di contenuto da settimane. Sembrava un'asticella alta. Era un 400 dell'API, e il messaggio d'errore nominava metà del problema.
Un robots.txt permissivo non è una licenza
Ho controllato le licenze di dieci fonti che il mio scraper leggeva da un mese. Ne sono passate due. Quella che faceva entrare tutti i crawler non mi concedeva niente, e quella che bloccava i bot sarebbe andata benissimo.
JSON garantito da Claude, e i cinque parser che ho cancellato per averlo
Avevo cinque funzioni il cui unico mestiere era riparare JSON che Claude aveva appena scritto. Forzare un tool solo con tool_choice ha reso il parsing un problema dell'API invece che mio, e una PR le ha cancellate tutte. La sorpresa è arrivata dopo il lancio.
Il mio portfolio fa l'audit dei propri header di sicurezza dal vivo, davanti a te
Una card del portfolio che fa una richiesta HEAD in stessa origine per controllare dal vivo i propri header di sicurezza, e perché la vera CSP deve vivere in due posti.
Tredici PR in un pomeriggio, e la regola noiosa che le ha rette
Avevo in lista sei modifiche e contavo di chiuderne due. Sei ore dopo ne erano in produzione tredici, e la cosa che ha tenuto in piedi il pomeriggio non è la velocità.