Amazon S3 è l'archivio di file di AWS: backup, documenti, immagini, qualsiasi cosa. L'errore classico è rendere un bucket pubblico per poter passare un link a qualcuno. Non serve, ed è la causa di buona parte delle fughe di dati che finiscono sui giornali. S3 permette di generare un link temporaneo (URL prefirmato) a un file preciso, che funziona per il tempo che decidi tu e poi smette di funzionare, con il bucket completamente chiuso.
Questa guida imposta il bucket per bene fin dall'inizio e ti mostra i due modi per generare il link: con il mouse e con un comando.
Prima di iniziare: cosa significa ogni cosa
- S3
- Il servizio di archiviazione di file di Amazon. Conserva qualsiasi tipo di file e lo serve quando gli viene richiesto.
- Bucket
- Una "cartella radice" in S3, con un nome unico in tutto il mondo. Dentro vanno i tuoi file e le sottocartelle.
- Oggetto
- Così S3 chiama ogni file conservato.
- Accesso pubblico
- Che chiunque su internet possa vedere un file conoscendone l'indirizzo. È bloccato per impostazione predefinita e così deve restare.
- URL prefirmato (link temporaneo)
- Un indirizzo speciale, lungo e con una firma, che permette di scaricare un file preciso per il tempo che scegli tu e poi smette di funzionare.
- CloudShell
- Il terminale integrato nella console web di AWS, dove si scrivono i comandi. Non c'è nulla da installare.
- Controllo delle versioni
- Opzione con cui S3 conserva le versioni precedenti di un file quando lo modifichi o lo cancelli.
- Regola di ciclo di vita
- Una norma automatica di pulizia: cancellare versioni vecchie o file passati alcuni giorni.
- CloudFront
- La rete di distribuzione di Amazon: il modo corretto di servire al pubblico i file di un bucket senza aprire il bucket.
Passo dopo passo
Crea il bucket con l'accesso pubblico bloccato
Nella console di S3, Crea bucket. Il nome è unico in tutto AWS, quindi usa qualcosa come
copias-miempresa-2026, in minuscolo e senza spazi. Scegli la regione dove hai il resto delle tue cose. In Impostazioni Blocco accesso pubblico lascia spuntata la casella Blocca tutti gli accessi pubblici: è il valore predefinito ed è quello corretto. Più in basso, attiva la crittografia predefinita (SSE-S3 basta) e, se conserverai cose importanti, il controllo delle versioni, che mantiene le versioni precedenti di un file quando lo sovrascrivi o lo cancelli.Carica il file
Entra nel bucket, Carica, trascina il file e premi Carica. Puoi creare cartelle per ordinare; in S3 le cartelle sono solo parte del nome del file, ma nella console funzionano come ti aspetti. Quando ha finito, clicca sul file: vedrai il suo URL oggetto. Se lo apri nel browser ti darà "Access Denied". Perfetto: significa che il bucket è chiuso.
Genera il link temporaneo dalla console
Con il file selezionato, menu Azioni, Condividi con un URL prefirmato. Scegli per quanto tempo deve funzionare (minuti o ore; la console ha un massimo di alcune ore) e premi Crea. L'URL viene copiato negli appunti. È lungo e porta una firma: chiunque lo abbia può scaricare quel file finché non scade, e nient'altro.
Oppure genera il link da CloudShell
Se ti serve spesso o vuoi una durata più lunga, apri CloudShell (icona del terminale nella console) e scrivi:
aws s3 presign s3://copias-miempresa-2026/informes/octubre.pdf --expires-in 86400Il numero sono secondi: 86400 è un giorno. Il link che restituisce si può incollare in un'email o in una chat. La durata massima dipende dal tipo di credenziale con cui lo firmi; con una chiave di accesso di un utente IAM può arrivare a una settimana.
Consegna il link e verifica che scada
Invialo a chi deve scaricare il file. Passata la scadenza, il link restituisce un errore "Request has expired". Se qualcuno ne ha bisogno di nuovo, ne generi un altro: è questione di un attimo. Non serve cancellare né cambiare nulla nel bucket.
Se hai ereditato un bucket pubblico, chiudilo
Nell'elenco dei bucket, la colonna Accesso ti dice se qualcuno è pubblico. Entraci, scheda Autorizzazioni, attiva Blocca tutti gli accessi pubblici ed elimina la policy del bucket che lo apriva. Poi, per i file che devono davvero essere pubblici (le immagini di un sito, per esempio), la cosa corretta è servirli tramite CloudFront, non aprire il bucket.
Cosa può andare storto
Il link dà "Access Denied" invece di scaricare
L'URL prefirmato funziona con i permessi di chi lo ha firmato. Se il tuo utente non può leggere quell'oggetto, non può nemmeno il link. Succede anche se l'URL è stato copiato incompleto: è molto lungo e alcuni programmi di posta lo tagliano. Invialo come link, non come testo semplice, oppure accorcialo con un servizio affidabile.
Il link scade prima di quanto avevo chiesto
Se lo hai generato da CloudShell o con credenziali temporanee (un ruolo), l'URL smette di funzionare quando scadono quelle credenziali, anche se avevi chiesto più tempo. Per durate lunghe, firmalo con la chiave di un utente IAM che abbia solo permesso di lettura su quel bucket.
Il nome del bucket esiste già
I nomi sono globali: un altro cliente di AWS in qualsiasi parte del mondo lo sta già usando. Aggiungi il nome della tua azienda o un suffisso.
La fattura di S3 cresce senza caricare nulla
Con il controllo delle versioni attivo, cancellare un file non lo cancella: crea un "marcatore di eliminazione" e la versione precedente continua a occupare spazio. Metti una regola di ciclo di vita che elimini le versioni vecchie passati alcuni giorni. Anche i caricamenti multiparte incompleti occupano spazio invisibile; un'altra regola di ciclo di vita li pulisce.
In Simplio
In Simplio apri il bucket come una cartella: carichi, scarichi e cancelli file senza entrare nella console di AWS, e ogni persona del tuo team vede solo i bucket che le assegni e può cancellare o no a seconda del permesso che le dai. L'accesso pubblico bloccato resta bloccato: Simplio non apre mai un bucket.
La stessa cosa, in AWS e in Simplio
| Nella console di AWS | In Simplio | |
|---|---|---|
| Caricare e organizzare file | Console di S3, bucket per bucket, account per account | I bucket di tutti i tuoi account come cartelle in una schermata |
| Dare accesso a qualcuno del team | Utente IAM con policy di S3 scritta a mano | Assegnargli il bucket e indicare se può cancellare |
| Sapere chi ha cancellato un file | CloudTrail con registrazione degli eventi dati attivata (a pagamento) | Registro attività di Simplio, per persona e bucket |