Perché il tuo sito su GitHub Pages potrebbe non essere così neutrale come pensi

GitHub Pages è una figata. Fai un push e il sito appare online. Niente server da configurare, niente pipeline CI/CD da debuggare alle 2 di notte, niente script che decidono di rompersi il venerdì. È quella semplicità che ti fa dimenticare che qualcosa esiste "sotto il cofano".

Ma c'è un dettaglio scomodo dietro quella comodità: ogni volta che usi GitHub Pages, stai mettendo il tuo codice, la tua infrastruttura di deployment e i tuoi dati sotto giurisdizione americana. E nel 2024, questo inizia a contare più di quanto la maggior parte degli sviluppatori si renda conto.

Il problema del Cloud Act che nessuno menziona

Il US Cloud Act, approvato nel 2018, dà alle autorità federali americane il potere di obbligare le aziende USA a fornire accesso ai dati, anche quando quei dati risiedono su server fisicamente a Francoforte, Amsterdam o Dublino. GitHub (di proprietà di Microsoft) e GitLab Inc. sono entrambe aziende americane. Sono soggette a questa legge, punto.

Prima di liquidare tutto come paranoia, pensa a cosa c'è davvero nel tuo repository:

• Post di blog non pubblicati con annunci di prodotto
• Documentazione interna del team
• Dettagli di progetti client in issue e wiki
• Credenziali di deployment e token di accesso
• Log degli accessi che mostrano chi ha sbirciato nei tuoi progetti

Niente di tutto questo è pubblico. Tutto è tecnicamente accessibile nelle giuste (o sbagliate) circostanze. Per un blog aziendale, potrebbe essere un compromesso accettabile. Per una startup con funzionalità non rilasciate, una consulenza con progetti client, o chiunque gestisca codice sensibile, dovrebbe quanto meno far alzare un sopracciglio.

Il divario di trasparenza

Quello che mi frusta di più delle grandi piattaforme è l'opacità sulla raccolta dati.

GitHub, GitLab e Cloudflare offrono conformità GDPR e accordi di trattamento dati che puoi firmare. Sembra rassicurante, finché non ti rendi conto che non hai idea di cosa registrino realmente. Indirizzi IP? User agent? Timestamp con geolocalizzazione? I termini default sono vaghi, e i log effettivi dei server non ti vengono mai mostrati.

Confronta questo con provider più piccoli come statichost.eu, che documentano apertamente cosa passa nei loro log: niente indirizzi IP, niente user agent, solo dimensioni aggregate delle risposte per la fatturazione. Includono persino un esempio di voce nei log. Quella è la trasparenza che genera fiducia.

E poi c'è il pantano legale del EU-US Data Privacy Framework. È il successore di Privacy Shield, il meccanismo che le aziende USA usano per legittimare i trasferimenti di dati dall'Europa. Il problema è che il framework si basa sostanzialmente sull'indipendenza della FTC — e la Corte Suprema americana ha recentemente messo in dubbio proprio quella indipendenza. Il terreno legale sotto i trasferimenti transatlantici dei dati si sta muovendo. Infrastruttura europea su server europei non è più un nice-to-have; sta diventando sempre più l'unica base solida.

La trappola della seamless experience

GitHub Pages è così elegantemente integrato che smetti di pensare a "hosting del codice" e "deployment del sito" come concetti separati. Sono solo... GitHub. Questa esperienza seamless è UX brillante, ma crea una dipendenza nascosta.

Non sei bloccato in senso stretto — migrare è tecnicamente semplice. Ma se non hai mai separato mentalmente questi aspetti, non li ottimizzi nemmeno in modo indipendente. Accetti quello che GitHub offre per il deployment perché è così che funzionano i siti, punto.

È l'argomento dell'architettura a cuciture applicato all'infrastruttura: l'accoppiamento crea costi nascosti, anche quando sembra comodo.

Lo stack alternativo europeo

Ecco la buona notizia: i siti statici sono intrinsecamente portatili. Tutto il senso di un generatore di siti statici è che i tuoi contenuti diventano file normali. Spostare l'hosting è raramente doloroso quanto migrare un'applicazione con database.

Lo stack alternativo emergente somiglia a questo:

Per l'hosting Git:

Codeberg gira su Forgejo (un fork community di Gitea) ed è gestito da un no-profit a Berlino. È gratuito, completamente open source, e l'infrastruttura vive in Germania. Per repository pubblici e progetti open source, è una scelta ovvia. I loro termini accolgono esplicitamente il lavoro open source.

Codefloe è il corrispettivo commerciale — sempre basato su Forgejo, ma senza restrizioni d'uso. Repository privati? Progetti commerciali? Team enterprise? Tutto benvenuto. Se il tuo codice sorgente non deve essere pubblico, questa è la tua opzione europea.

Entrambe le piattaforme parlano Git standard. Passare da GitHub significa cambiare un URL remote. Gli strumenti di import trasferiscono l'intera cronologia.

Per il deployment:

statichost.eu costruisce e ospita siti statici in data center europei. Collega il tuo repository via webhook, specifica il tuo processo di build (supportano immagini Docker, quindi praticamente qualsiasi generatore di siti statici funziona), e fai push per deployare. Domini personalizzati, certificati SSL, tutto incluso.

La separazione non è solo filosofica — è pratica. Puoi cambiare il tuo host Git senza toccare il deployment, o migrare l'hosting senza spostare il codice. Due componenti indipendenti, due decisioni indipendenti.

Effettuare il passaggio

Se sei convinto ma preoccupato dalla complessità, ti rassicuro: questo stack è davvero altrettanto comodo di GitHub Pages. Zola costruisce i siti in millisecondi. Codeberg o Codefloe gestiscono il tuo repository. statichost.eu attiva le build. L'esperienza sviluppatore è quasi identica.

La differenza è che quando dormi, i tuoi dati vivono in Europa, governati da leggi europee, registrati con trasparenza europea, e controllati da organizzazioni europee.

Per alcuni progetti, GitHub Pages va bene. Per progetti dove la sovranità dei dati, la privacy o la discrezione professionale contano, lo stack alternativo europeo merita seria considerazione.

I siti statici sono portatili per natura. Forse è ora che anche la tua infrastruttura lo rifletta.