Gregorio Montanari, consulente tecnico indipendente

Lavoro su sistemi in produzione dal 1994. Ho cominciato a Genova con progetti per l’università, il Comune e aziende private, poi sono passato a ruoli in cui le conseguenze erano mie: IT manager di un fornitore di banche dati accademiche, poi del primo fornitore italiano delle biblioteche pubbliche, direttore tecnico del gruppo Centro Libri, il secondo grossista di libri in Italia, durante la sua acquisizione da parte di Messaggerie. Dal 2018 al 2026 sono stato CTO di DGLine, una software house B2B con prodotti propri: WMS e MES, un ERP, e-commerce, elaborazione documentale con OCR e AI.

Nel 2022 ho co-fondato Dfence, un servizio di vulnerability assessment continuo per le reti aziendali, di cui sono stato CTO e Head of Product fino al 2025. Venti clienti paganti, da tre a cinque sedi ciascuno, circa 100 appliance fisiche installate presso i clienti e governate da un unico master SaltStack con moduli Python scritti da me. È lì che ho imparato quanto vale un’operazione che restituisce dati invece di testo da interpretare.

Per undici anni ho insegnato amministrazione di sistemi Linux agli ufficiali dell’Esercito, alla Scuola Telecomunicazioni di Chiavari. Ho una formazione da counselor, che nel lavoro tecnico uso più di quanto sembri: separare i fatti dalle emozioni in un audit, leggere la dinamica fra un cliente e il suo fornitore storico, consegnare un risultato scomodo senza rompere il rapporto.

Come lavoro

Nessun numero senza fonte, nessuna affermazione senza prova, limiti dichiarati in modo esplicito. Vale per i miei clienti e vale per questo sito.

Il codice che scrivo per misurare resta a te, in un repository con le istruzioni per eseguirlo. Se una misura la può rifare solo io, il giorno che non ci sono più il numero è scaduto e nessuno se ne accorge.

Prima di correggere misuro, e prima di misurare controllo che lo strumento stia misurando. Su un e-commerce il titolare mi ha chiamato perché Google Analytics mostrava un crollo delle visite. Gli ordini nel database erano stabili, 3,67 al giorno contro 3,70: il banner dei cookie, riconfigurato senza Consent Mode, faceva sparire dalle statistiche chi rifiutava. Il sito non aveva niente. Avremmo potuto spendere settimane a ottimizzarlo.

Prima di intervenire chiedo quale risorsa è scarsa, e se l’intervento agisce su quella. Mi è capitato di passare giorni su un’operazione tecnicamente ineccepibile puntata sulla risorsa sbagliata, mentre la quota satura era un’altra. Da allora è la prima domanda.

Se durante la valutazione iniziale viene fuori che il lavoro grosso non serve, te lo dico e ci fermiamo lì.

Strumenti

L’elenco contiene quello che uso davvero e su cui posso mostrare lavoro. Playwright per le misure di laboratorio e le sonde di regressione. sitespeed.io con Graphite e Grafana per la misura continua. L’API CrUX per i dati di campo. SonarQube, OWASP ZAP, Trivy, Dependency-Track e gitleaks nelle pipeline GitLab CI e GitHub Actions, con SBOM in formato CycloneDX. Python per estrazione, verifiche e agenti, compreso un server MCP scritto da me. Linux, Docker, SaltStack, Cloudflare.

Cosa non faccio

Niente SOC attivo 24 ore su 24, niente incident response forense, niente penetration test manuali: se ti servono, te lo dico e ti aiuto a scegliere chi li fa. Niente certificazioni di conformità. Niente scraping che aggiri autenticazione o protezioni antibot.