# IOTA Web Guardian — Roadmap 2026 - **Versione:** 1.0 - **Data:** 28 aprile 2026 - **Autori:** Niccolò, Paolo ```{=openxml} ``` ## 1. Direzione Da maggio a dicembre 2026 IOTA Web Guardian non aggiunge nuove feature. Lavoriamo su tre fronti, in parallelo: 1. **Hardening** — performance misurate, sicurezza, robustezza della distinzione tra utenti umani e AI scraper. 2. **Web2 onboarding** — un publisher non-crypto deve poter installare e usare il sistema senza vedere wallet, DID o seed phrase. 3. **Distribuzione** — publisher pilota reali, listing su WordPress.org, case study con numeri. L'obiettivo a fine anno è arrivare con un sistema misurato, robusto e usato — non con nuove demo. ```{=openxml} ``` ## 2. Q2 2026 — Maggio e Giugno **Obiettivo:** trasformare il prototipo in un software di cui un publisher si fida in produzione, e arrivare preparati all'evento di Berlino. **Cosa consegniamo entro fine giugno:** - Pagina pubblica di benchmark con latenza misurata p50/p95/p99 (cold fetch, JWT cached path, settlement on-chain) su IOTA Rebased testnet. - Documento interno di threat model che copre i quattro vettori d'attacco principali (scraper mascherato da browser, falso positivo su utenti umani, replay di Verifiable Presentation, Sybil attack sui DID). - Telemetria opt-in attiva: numero di installazioni, scraper bloccati, ricavi catturati, falsi positivi segnalati. - Security review interna del plugin WordPress completata. - Stress test del certifier: req/s sostenibili, comportamento sotto latency spike, failure mode documentati. - Pitch deck e demo aggiornati con i numeri reali misurati, pronti per Berlino. **Milestone:** evento Berlino, giugno 2026. ```{=openxml} ``` ## 3. Q3 2026 — Luglio, Agosto, Settembre **Obiettivo:** rendere il sistema utilizzabile da un blogger WordPress che non ha mai sentito parlare di blockchain, e irrobustire il livello di detection contro tentativi di bypass. **Web2 Onboarding — cosa consegniamo entro fine settembre:** - Modalità custodial di default: registrazione via email/Google, wallet provisionato e custodito da un partner custodian (decisione da concordare con IOTA Foundation entro luglio). - Off-ramp fiat integrato: dashboard del publisher in EUR/USD, prelievo verso PayPal / Stripe / SEPA. Almeno un partner di on/off-ramp integrato. - Setup wizard misurato: install plugin → conferma email → primo scraper bloccato in meno di 60 secondi su un WordPress fresco. - UI in linguaggio human-friendly: pricing in euro/dollari per 1000 visite, zero gergo blockchain in prima schermata. Vista avanzata disponibile su richiesta. - Path "export to self-custody" disponibile con un click per chi vuole controllare le proprie chiavi. **Detection Hardening — cosa consegniamo entro fine settembre:** - TLS fingerprinting (JA4) integrato all'edge del certifier, per distinguere Chrome reale da headless Chromium / curl / Python requests. - Behavioral signals attivi: assenza di fetch CSS/JS dopo l'HTML, mancanza di referrer chain interna, request rate anomalo per sessione. - Challenge progressiva proof-of-work configurabile per publisher (off / leggera / aggressiva), invisibile agli umani, costosa per scraping di massa. - Verifiable Presentation legate a nonce + timestamp + URL hash; JWT legato a IP+UA+DID con re-auth al cambio di contesto. Replay reso impossibile. - Allowlist verificata di crawler legittimi (Googlebot, Bingbot, Common Crawl, Wayback) via reverse-DNS, estendibile dal publisher. - Path "I am human" sempre disponibile per casi di accessibilità e falsi positivi. ```{=openxml} ``` ## 4. Q4 2026 — Ottobre, Novembre, Dicembre **Obiettivo:** chiudere l'anno con prove sul campo, validazione esterna e materiale per il prossimo step di crescita. **Cosa consegniamo entro fine dicembre:** - Dieci publisher reali onboarded (non amici e parenti): blog tech indipendenti, piccoli media indipendenti EU/IT, siti docs di nicchia. Ognuno attivo per almeno 30 giorni con telemetria condivisa. - Tre case study scritti con numeri reali: ricavi catturati, scraper bloccati, uptime, attrito di conversione lato utente. - Plugin sottomesso a WordPress.org a ottobre e listato sul marketplace ufficiale entro fine anno. - Documentazione publisher-grade: video tutorial in italiano e inglese (5–10 minuti, da install al primo ricavo), FAQ, troubleshooting, "exit story" che spiega come abbandonare il sistema senza lock-in. - Reference SDK o esempio integrabile per AI agent legittimi che vogliono pagare via x402 (lato domanda del mercato). - Bug bounty pubblico aperto, anche con budget contenuto, come segnale di apertura allo scrutinio. - Audit di sicurezza esterno light (1 settimana) sul flow di detection, condotto da un freelance specializzato. - Whitepaper pubblico sulla metodologia di distinzione tra utenti umani e AI agent, peer-reviewable. - Report di fine anno con metriche aggregate: siti onboarded, scraper bloccati, ricavi redistribuiti ai publisher, latenza misurata. Materiale pronto per il prossimo step (round / continuazione grant IOTA Foundation). ```{=openxml} ``` ## 5. Indicatori a Fine Anno | Indicatore | Target | |---|---| | Publisher reali onboarded | ≥ 10 | | Plugin listato su WordPress.org | Live | | Benchmark pubblico con p50/p95/p99 misurati | Pubblicato | | Audit di sicurezza esterno (light) | Completato | | Whitepaper sulla metodologia di detection | Pubblicato | | Partner custodian / on-ramp integrato | Almeno 1 | | Case study con numeri reali | ≥ 3 | | Vettori di bypass noti mitigati a "non economici" | Tutti | ```{=openxml} ``` ## 6. Principi di Lavoro - **Niente nuove feature fino a dicembre.** Ogni richiesta esterna va in backlog 2027. - **Web2 in prima impressione, Web3 sotto il cofano.** Il publisher non deve mai vedere un DID se non lo vuole. - **Ogni numero che pubblichiamo è misurato.** Niente stime, niente placeholder. - **Detection è la fondazione.** Se la distinzione tra umani e scraper non è robusta, tutto il resto perde valore. Ci lavoriamo in continuo, ogni trimestre. - **Onestà sul perimetro.** Non promettiamo l'imbattibilità: cambiamo l'incentivo economico, rendendo lo scraping più costoso del pagamento. ```{=openxml} ``` ## 7. Coordinamento - **Niccolò:** lead su performance, sicurezza, infrastruttura, detection robustness, audit. - **Paolo:** lead su UX WordPress, onboarding, documentazione publisher, marketplace, distribuzione, publisher pilota. - **Insieme:** pitch deck, evento Berlino, relazione con IOTA Foundation, report di fine anno. - **Cadenza proposta con IOTA Foundation:** check-in mensile di avanzamento, re-sync esteso dopo Berlino.