2026-09-05 timestamp git blockchain proof

Prova di esistenza per il codice: cos’è e perché è importante

La maggior parte degli sviluppatori si fida della cronologia Git per mostrare quando una funzionalità è stata introdotta. Ma in una controversia legale, le date dei commit Git sono solo metadati. Una persona con accesso al repository può riscrivere la cronologia, forzare il push di nuove date o modificare il database del server. È per questo che la prova di esistenza per il codice è passata dall’essere una curiosità crittografica a uno strumento pratico di conformità.

La prova di esistenza ti offre qualcosa di più forte di un messaggio di commit o di uno screenshot con timestamp: una registrazione matematica, pubblica e a prova di manomissione che un determinato stato del repository è esistito in un determinato momento. Questo articolo spiega cosa significa, come funziona senza esporre il tuo codice sorgente e come una GitHub App gestita come Timestamp GIT lo trasforma in un flusso di lavoro a configurazione zero.

Cos’è la prova di esistenza per il codice?

La prova di esistenza è una prova crittografica che uno specifico pezzo di codice è esistito in uno specifico momento nel tempo. Non memorizza il tuo codice, non dimostra che l’hai scritto tu e non sostituisce la registrazione del copyright. Dimostra un fatto limitato ma potente: questa esatta impronta digitale è esistita prima di questo timestamp.

L’impronta digitale è un hash di commit Git. Quando esegui un commit, Git genera un identificatore unidirezionale dallo stato del repository:

git rev-parse HEAD
# 1a4f28c3e8f1d95b4e2a3cfe06cb0d5b9a4d1e7c

Quell’hash è sensibile. Cambia un singolo carattere in qualsiasi file tracciato, o altera i metadati del commit, e ottieni un hash completamente diverso. Ma l’hash in sé non rivela nulla su nomi, percorsi o codice sorgente.

Per rendere quell’hash significativo nel tempo, la prova di esistenza lo ancora a un registro pubblico e immutabile: la blockchain di Bitcoin. Il blocco Bitcoin funge da orologio universale. Una volta che l’ancoraggio è confermato, non esiste un modo pratico per alterare il timestamp senza riscrivere la storia di Bitcoin.

Le alternative tradizionali sono più deboli:

I log Git interni possono essere modificati, eliminati o ospitati su server al di fuori del tuo controllo.
L’autenticazione notarile dimostra che una persona ha firmato un documento, ma è più lenta e spesso richiede la fiducia in terze parti.
I brevetti sono costosi e lenti; richiedono inoltre la divulgazione pubblica.

Un’impronta digitale ancorata alla blockchain è economica, automatizzata e matematicamente verificabile. Anche se il servizio di timestamping dovesse scomparire, la prova può essere verificata direttamente contro Bitcoin.

Una semplice analogia: la busta sigillata

Immagina di spedirti una busta sigillata contenente la descrizione di un’invenzione. Quando la busta arriva, il timbro postale dimostra che la descrizione esisteva in quella data. Mantieni la busta sigillata finché una controversia non richiede di aprirla.

La prova di esistenza è la versione digitale di questo stratagemma:

L’hash del tuo codice è la busta sigillata. Nasconde il contenuto.
La blockchain di Bitcoin è il timbro postale. Registra il momento in cui l’impronta digitale è stata inserita nel registro pubblico.
Il file .ots di ricevuta è la busta stessa — la prova crittografica che conservi.

Ma una busta fisica ha un punto debole: qualcuno potrebbe teoricamente falsificare un timbro postale o retrodatare una lettera. Un timestamp Bitcoin non ha questo punto debole. La blockchain è pubblica, solo in aggiunta e protetta dalla proof-of-work. Una volta che l’ancoraggio è sepolto sotto un numero sufficiente di blocchi, la retrodatabilità è computazionalmente impraticabile.

Come funziona sotto il cofano (in breve)

Il flusso completo è sorprendentemente semplice:

Commit rilevato
    ↓
Hash del commit Git estratto
    ↓
Batch notturno di hash
    ↓
Albero di Merkle costruito
    ↓
Radice di Merkle ancorata in Bitcoin
    ↓
Ricevuta .ots restituita

Passo 1: Impronta digitale. Git crea già l’hash univoco del commit quando viene effettuato un commit. Timestamp GIT estrae solo quell’hash, non il contenuto che vi sta dietro.

Passo 2: Ancoraggio. Ogni notte, il servizio raggruppa gli hash di commit in sospeso in un manifest. Costruisce un albero di Merkle dagli hash e ancora la radice di Merkle in una transazione Bitcoin utilizzando il protocollo OpenTimestamps. Questo raggruppa molti commit in un unico ancoraggio on-chain. La conferma Bitcoin richiede normalmente circa tre ore, quindi i file di prova compaiono dopo che l’ancoraggio è stato confermato.

Passo 3: Prova. Il risultato è un file di ricevuta .ots. La ricevuta contiene il percorso crittografico dal tuo hash di commit all’header del blocco Bitcoin. Chiunque può in seguito verificare la prova localmente contro la blockchain.

Esiste un modo grezzo per farlo da soli utilizzando gli strumenti OpenTimestamps e interazioni manuali con Bitcoin. Funziona, ma significa mantenere i propri calendari, ricevute e flusso di lavoro di verifica. Timestamp GIT esiste proprio per eliminare questo onere operativo. La GitHub App osserva i tuoi repository, raggruppa gli hash ogni notte e invia i file di prova a un ramo timestamps o a un repository ombra. Nessuno strumento CLI, nessun passaggio manuale del protocollo, nessun comando OpenTimestamps.

Perché la prova di esistenza è importante per gli sviluppatori

Protezione contro i patent troll

I patent troll spesso depositano brevetti ampi su tecnologie comuni. Se hai implementato la stessa idea mesi prima, un timestamp immutabile può invalidare la rivendicazione. Non devi spiegare pubblicamente la tua implementazione — devi solo dimostrare che il codice esisteva prima della data di deposito.

Risolvere le controversie sulla paternità

Quando uno sviluppatore principale se ne va, o un collaboratore sostiene di aver costruito prima una funzionalità, un hash di commit Git ancorato in Bitcoin risolve il problema del “lui ha detto, lei ha detto”. Puoi dimostrare che lo stato esisteva in una data specifica, senza fare affidamento su log di accesso interni che un tribunale potrebbe respingere come autoreferenziali.

Difendersi dalle accuse di “clean room”

Un concorrente potrebbe affermare di aver sviluppato autonomamente una funzionalità simile dopo che tu l’hai rilasciata. Se il tuo codice esisteva 18 mesi prima, il timestamp crea un muro matematico. L’accusa crolla di fronte al registro pubblico.

Rafforzare le prove legali

I log interni sono spesso considerati manipolabili. Le prove ancorate alla blockchain sono a prova di manomissione. Si basano su SHA-256 e sui dati dei blocchi Bitcoin, standard che possono essere verificati da esperti indipendenti. Questo le rende molto più forti negli audit, nelle trattative di transazione o nei contenziosi.

Idee sbagliate comuni

Non è una registrazione di copyright. Il copyright protegge l’espressione e sorge automaticamente, ma la prova di esistenza non sostituisce la registrazione. Supporta la tua rivendicazione sulla tempistica.
Non è un brevetto. Un timestamp non concede diritti esclusivi. Fornisce prove di arte anteriore contro rivendicazioni concorrenti successive.
Non dimostra la proprietà. Dimostra l’esistenza in un momento nel tempo. La proprietà è una questione legale separata, tipicamente supportata da registrazioni aggiuntive.

Comprendere questa portata è importante. La prova di esistenza è un pezzo potente del puzzle, non uno scudo legale magico.

Come Timestamp GIT lo rende semplice

Timestamp GIT è un SaaS gestito più una GitHub App che automatizza l’intera pipeline di timestamping. Lo installi una volta, selezioni i repository che vuoi monitorare e ogni nuovo commit viene ancorato a Bitcoin durante il successivo batch notturno.

Il dettaglio architetturale chiave è la gestione a conoscenza zero del tuo codice sorgente:

Modalità Standard utilizza la GitHub App per leggere solo l’hash del commit HEAD da un repository monitorato. Timestamp GIT non vede mai, non copia e non memorizza il tuo codice sorgente effettivo. Riceve solo l’hash del commit.
Modalità Enterprise ZK utilizza una breve GitHub Action che viene eseguita nel tuo ambiente. L’action invia solo l’hash del commit all’API di Timestamp GIT, quindi il tuo sorgente non lascia mai la tua infrastruttura.

Dopo l’ancoraggio, la verifica è progettata per essere amichevole per gli sviluppatori:

Badge incorporabili per il tuo README mostrano lo stato di verifica pubblica.
Pagine di stato pubbliche mostrano la data di ancoraggio più antica, i dati del blocco e della transazione Bitcoin e una heatmap del calendario.
Certificati PDF sono scaricabili per una data specifica.
Verifica basata su browser viene eseguita localmente nel tuo browser, quindi la prova può essere verificata senza fidarsi di alcun servizio di terze parti.
Endpoint API pubblici come /api/statusLast/{user}/{repo} e /api/audit/{user}/{repo} consentono integrazioni e report personalizzati.

Timestamp GIT supporta anche una licenza self-hosted Docker per ambienti air-gapped o altamente regolamentati. L’avvio rapido si presenta così:

services:
  timestampgit:
    image: rue1401/timestampgit:prod
    ports:
      - "8080:8080"
    volumes:
      - ./data:/app/data
    restart: unless-stopped
  valkey:
    image: valkey/valkey:8
    restart: unless-stopped

I prezzi partono con un piano gratuito per i repository pubblici. I repository privati e i casi d’uso aziendali passano a piani a pagamento. L’obiettivo è che ottenere un timestamp crittografico dovrebbe sembrare normale quanto abilitare la protezione dei rami.

Se desideri maggiori dettagli sul flusso di configurazione, consulta Automatizzare il timestamping dei commit Git con una GitHub App.

FAQ

Cos’è esattamente la prova di esistenza per il codice?

La prova di esistenza è una prova crittografica che uno specifico pezzo di codice è esistito in uno specifico momento nel tempo. Funziona eseguendo l’hashing del codice, o di un commit Git, e ancorando quell’hash alla blockchain di Bitcoin. L’immutabilità della blockchain garantisce che il timestamp non possa essere alterato o retrodatato, e la prova può essere verificata indipendentemente da chiunque.

In che modo la prova di esistenza è diversa dal copyright o dai brevetti?

Il copyright protegge l’espressione di un’idea e sorge automaticamente, ma dimostrare la data di creazione può essere difficile. I brevetti proteggono le invenzioni ma sono costosi, lenti e richiedono la divulgazione pubblica. La prova di esistenza fornisce un timestamp a prova di manomissione che può supportare sia le rivendicazioni di copyright sia quelle di brevetto, ma non concede diritti esclusivi di per sé.

Posso dimostrare l’esistenza senza rivelare il mio codice sorgente?

Sì. La prova di esistenza utilizza un hash crittografico del codice, non il codice stesso. Un hash è una funzione unidirezionale: è computazionalmente impraticabile derivare il codice originale dall’hash. L’architettura a conoscenza zero di Timestamp GIT garantisce che solo l’hash del commit venga inviato al servizio, mai il codice sorgente. In modalità Enterprise ZK, anche l’hash viene inviato dal tuo ambiente.

Il timestamping Bitcoin è legalmente riconosciuto?

Sebbene le leggi varino a seconda della giurisdizione, i timestamp basati su blockchain sono sempre più accettati come prova nei tribunali grazie alla loro integrità crittografica e immutabilità. Il protocollo OpenTimestamps utilizzato da Timestamp GIT si basa su standard ampiamente accettati come SHA-256 e la blockchain di Bitcoin. La prova può essere verificata indipendentemente, rendendola una solida prova di esistenza in un determinato momento.

Come posso iniziare con Timestamp GIT?

Inizia installando la GitHub App Timestamp GIT sui tuoi repository. L’app rileva automaticamente i nuovi commit e li ancora a Bitcoin ogni notte. Puoi monitorare lo stato tramite badge o la dashboard pubblica e scaricare i report di verifica. Per i repository privati, puoi scegliere un piano a pagamento o il self-hosting con Docker.

Conclusione

La prova di esistenza per il codice cambia la domanda da “ti fidi della mia cronologia Git?” a “puoi verificare questo hash contro Bitcoin?” È una posizione molto più forte.

Non è un sostituto della registrazione del copyright o di una strategia brevettuale. È il livello mancante che dice al mondo, con certezza matematica, quando uno stato del repository è esistito. Per sviluppatori, startup, agenzie e team di conformità, quel livello sta diventando pratica standard.

Se vuoi implementare la prova di esistenza senza gestire manualmente le ricevute crittografiche, Timestamp GIT è la via gestita. Installa la GitHub App una volta, collega i tuoi repository e lascia che l’ancoraggio notturno a Bitcoin avvenga automaticamente. Puoi esplorare il servizio su https://timestampgit.dev/.

Prova di esistenza per il codice: cos'è e perché è importante