# Eliminazione dell'ambiente e distruzione delle chiavi

Ogni ambiente KeenAuth ha le proprie chiavi di crittografia. Quando un ambiente viene eliminato, KeenAuth distrugge queste chiavi, così
i dati dell'ambiente diventano permanentemente illeggibili, anche nei punti in cui una copia cifrata esiste ancora per un certo periodo,
ad esempio nei backup. Questa pagina spiega cosa viene distrutto, quando, e cosa resta. Le parti non ancora disponibili sono
contrassegnate come `planned`.

## La gerarchia delle chiavi

I campi sensibili di un ambiente (per esempio i segreti MFA, le chiavi di firma dei token, i segreti di connessione e dei webhook, i
dati personali nei log, gli archivi dei log e i file di esportazione) sono cifrati con chiavi di dati. Queste chiavi di dati sono avvolte dalla
chiave master del tenant dell'ambiente, e la chiave master del tenant è avvolta da una chiave della cella KeenAuth in cui vive
l'ambiente. La chiave della cella non lascia mai il sistema di gestione delle chiavi della cella e non può essere esportata.

- Ogni ambiente ha le proprie chiavi master del tenant, una per ogni servizio KeenAuth che memorizza dati cifrati; nessuna chiave è
  condivisa tra ambienti, nemmeno tra ambienti dello stesso account.
- La cifratura del fornitore di archiviazione non viene considerata: i dati sono cifrati da KeenAuth prima di essere
  scritti.

## Cosa succede quando un ambiente viene eliminato

1. **Prima vengono distrutte le chiavi.** Ogni chiave master del tenant dell'ambiente viene contrassegnata come distrutta e il suo
   materiale di chiave avvolto viene cancellato. Viene conservata una registrazione che attesta che la chiave esisteva ed è stata distrutta, senza la chiave.
2. **I dati attivi vengono eliminati.** Utenti, organizzazioni, applicazioni, sessioni, log e altri record dell'ambiente vengono
   eliminati dai database attivi.
3. **Vengono eliminate le chiavi di firma delle email.** Le chiavi di firma DKIM dei domini di invio dell'ambiente vengono rimosse dal
   sistema di gestione delle chiavi della cella nello stesso passaggio.

Dopo il passaggio 1, nessun sistema KeenAuth in esecuzione può decifrare i campi cifrati dell'ambiente, anche prima che le righe stesse
vengano rimosse.

## Backup e limite di 30 giorni

I backup del database e gli snapshot del sistema di gestione delle chiavi possono contenere ancora una copia avvolta di una chiave distrutta. Vengono conservati per
al massimo **30 giorni**. Quando l'ultimo backup che contiene la chiave è scaduto, ogni copia cifrata dei dati dell'ambiente
(nei backup, negli archivi e nei file di esportazione residui) diventa permanentemente non decifrabile.

- Se un backup viene mai ripristinato, gli ambienti eliminati vengono rimossi di nuovo prima che il sistema ripristinato torni online
  (`planned`).
- Un certificato di eliminazione che elenca le versioni delle chiavi distrutte e la data di scadenza dell'ultimo backup viene prodotto dopo i 30 giorni (`planned`).

## Blocco legale

Se un ambiente è soggetto a un blocco legale, la distruzione delle chiavi viene rinviata fino alla revoca del blocco e poi avviene
entro 24 ore (`planned`).

## Eliminare un ambiente

L'eliminazione e il ripristino degli ambienti dalla dashboard e dalla API di gestione sono `planned`. Fino ad allora, contatta il supporto KeenAuth per eliminare un ambiente.