Ogni volta che vedi l'icona del lucchetto nella barra del browser, probabilmente è la libreria OpenSSL a lavorare dietro le quinte. Questa libreria crittografica open source rende possibili le connessioni sicure che proteggono le tue password, i numeri delle carte di credito e i messaggi privati mentre viaggiano su Internet. Quando un'organizzazione tecnologica con responsabilità così importanti deve prendere decisioni, chiarezza e trasparenza non sono facoltative.
«Aperto, trasparente, incentrato sulla comunità»: sono le prime parole che sentiamo da Anton Arapov, direttore operativo di OpenSSL Corporation. Quando Arapov è entrato nell'organizzazione tre anni fa, c'erano priorità contrastanti. Mentre gran parte dell'organizzazione si concentrava sulla promozione dei valori della comunità open source, alcuni gruppi si dedicavano al supporto di realtà commerciali come Microsoft, Amazon e Cisco. Questa differenza aveva creato uno squilibrio nelle priorità.
«In passato era difficile», spiega Arapov. «Avevamo un insieme di persone... e queste persone avevano obiettivi diversi. Alcune erano più concentrate sulla comunità, altre sugli aspetti commerciali. Nascevano scontri quando si doveva rispondere a... cosa è importante fare oggi e cosa è importante fare domani?»
Arapov e altri hanno trovato una soluzione strutturale a questa tensione. L'OpenSSL Project si è riorganizzato in due entità: la Corporation, responsabile delle attività commerciali, e la Foundation, che gestisce il lavoro non commerciale. Sebbene la nuova struttura offrisse una soluzione, rimaneva una domanda fondamentale: come raccogliere i contributi dell'ecosistema più ampio di persone che dipendono dal software ma non sono clienti paganti né sviluppatori principali?
La vera base di utenti
Storicamente l'OpenSSL Project comunicava con due gruppi: i clienti paganti sul versante commerciale e gli sviluppatori che partecipavano tramite GitHub sul versante open source. Arapov e i suoi colleghi sospettavano che ci fossero molte altre parti interessate: accademici impegnati nella ricerca crittografica, piccole imprese che dipendevano da comunicazioni sicure, grandi aziende con esigenze specifiche di stabilità e prevedibilità, sistemi operativi e distributori a valle che integravano il software nei propri pacchetti. Solo per citarne alcune.
«A un certo punto abbiamo discusso: come raggiungiamo il resto della comunità? Abbiamo diversi tipi di utenti. Ci sono persone che non sono sviluppatori e che non hanno familiarità con lo sviluppo di strumenti per sviluppatori.»
Come direttore operativo e «community manager» informale dell'organizzazione, Arapov si è fatto portavoce della ricerca di una soluzione. Ha iniziato studiando come altre organizzazioni raccoglievano i contributi delle comunità. Ha esaminato progetti open source con grandi basi di utenti e organismi di standardizzazione che erano riusciti a ottenere il consenso sulle decisioni tecniche.
«Quando ho iniziato, avevo solo l'idea che mi servisse una sorta di forum che offrisse, idealmente, la possibilità di votare. Alcune funzioni utili per la gestione, come quella della comunità.»
I forum open source permettevano di discutere, ma non offrivano veri strumenti di voto. Gli organismi di standardizzazione avevano meccanismi di voto, ma l'esperienza utente era progettata male. Ha continuato a cercare, sempre più scoraggiato. «Stavo arrivando al punto di pensare che non avrei trovato nulla e che avrei dovuto ripiegare su qualcosa di solo abbastanza adatto.»
Il suggerimento di ChatGPT
Arapov aveva definito criteri chiari. Serviva un software open source, in linea con i valori dell'OpenSSL Project. Volevano poter partecipare via email senza dover visitare la piattaforma, un requisito fondamentale per gli ingegneri che passano gran parte del tempo nella posta in arrivo. Un'interfaccia pulita, senza rumore visivo. Funzioni di voto con un tracciamento adeguato. La possibilità di vedere tutti i sondaggi in un unico posto, senza doverli cercare nelle discussioni.
«Per me, come ingegnere, era estremamente importante poter rispondere a qualcuno usando solo il mio client di posta. Ricevo una notifica che è successo qualcosa e rispondo dal mio client di posta senza dover andare sulla piattaforma.»
Anche lavorare con fornitori tecnologici più piccoli era importante. «È molto più facile contattarli, e questo era evidente perché le nostre esigenze sono diverse da quelle soddisfatte praticamente da ogni software che avevo visto. Sapevamo che avremmo avuto bisogno di alcuni adattamenti e di funzioni che non esistono. Più piccolo è il fornitore, più è facile avere questo tipo di comunicazione, spiegare le cose e vederle effettivamente realizzate.»
Un altro fattore aveva un grande peso. «Abbiamo una missione e siamo un'organizzazione molto trasparente, molto aperta. Per noi era assolutamente importante avere una soluzione anch'essa open source. Ed eravamo disposti a sostenere economicamente quel tipo di soluzione.» Oltre a essere coerente con i loro principi, l'open source è importante perché garantisce la proprietà dei propri dati e diritti perpetui sul software.
Con una scadenza imminente e nessuna soluzione chiara, Arapov ha provato qualcosa di insolito. «Ho inserito tutto in ChatGPT. ChatGPT mi ha dato Loomio come primo risultato. Curiosamente, cercando altrove, non avevo trovato Loomio. Così mi sono chiesto: cos'è Loomio?»
Si è subito registrato per una prova su loomio.com e ha contattato l'assistenza Loomio, il cofondatore e sviluppatore principale Rob Guthrie. «Ho visto arrivare OpenSSL nella mia posta in arrivo e ho pensato: accidenti», ricorda Rob. Arapov si è poi abbonato alla versione pro per poter esplorare le funzionalità più a fondo.
L'opzione di hosting autonomo ha sancito la decisione. «Volevo una soluzione ospitata autonomamente; per noi è ancora molto importante essere proprietari dei nostri dati.» Per un'organizzazione che custodisce l'infrastruttura crittografica che protegge il traffico Internet globale, la sovranità sui dati non è negoziabile. Le preoccupazioni della comunità tecnica riguardo a sicurezza e controllo rendevano essenziale l'hosting autonomo.
Costruire la struttura della comunità
L'implementazione tecnica è stata semplice. Il team infrastrutturale di Loomio si è occupato della configurazione. La sfida più difficile era progettare l'architettura stessa della comunità. «La cosa difficile è stata trovare la struttura giusta per le comunità, perché era davvero importante. Ne abbiamo così tante.»
L'OpenSSL Project ha individuato sei comunità distinte: accademici, grandi imprese, piccole imprese, singoli individui, distribuzioni e collaboratori con diritto di commit. Ogni comunità aveva interessi sia commerciali sia non commerciali, per un totale di dodici comunità tra Corporation e Foundation.
Per far crescere queste comunità, hanno contattato persone che conoscevano da tempo: chi aveva cercato di contattare l'OpenSSL Project tramite le mailing list o aveva dimostrato interesse nel corso degli anni. «Abbiamo detto loro che avevamo un nuovo spazio e che le consideravamo parte di quella comunità. Se sembra adatto a te, entra nella comunità. E grazie al passaparola ha iniziato a crescere.»
Per rendere possibili cambiamenti nelle varie comunità, hanno istituito alcuni comitati consultivi eletti dalle comunità. Questi comitati hanno fatto emergere le esigenze delle comunità e hanno consigliato i consigli di amministrazione sia della Foundation sia della Corporation, traducendo tali esigenze in elementi della roadmap di prodotto, cambiamenti nella governance e altro ancora.
Ripensare la roadmap di prodotto
«Abbiamo un gruppo di ingegneri con opinioni molto forti, che pensano di sapere cosa tutti conoscono, apprezzano e desiderano.» Insieme avevano accumulato un lungo elenco di funzionalità che ritenevano necessarie agli utenti.
Poi hanno iniziato a chiedere direttamente ai membri registrati delle comunità cosa desiderassero, attraverso Loomio. «È bastato porre una domanda in uno spazio in cui le persone potessero partecipare. Gli ingegneri si sono resi conto che l'opinione della comunità era a volte esattamente l'opposto di ciò che presumevano. La comunità può pensarla in modo del tutto opposto.»
La scoperta ha indotto l'OpenSSL Project a riconsiderare le proprie convinzioni e a fare una scelta coraggiosa. «Con l'adozione delle nostre comunità su Loomio, abbiamo riesaminato quel lungo elenco di funzionalità proposte. Quelle funzionalità che pensavamo fosse importante realizzare in futuro. Abbiamo deciso di abbandonare l'intero vecchio elenco e ripartire da zero, parlando direttamente con le comunità.»
Ora il processo di cambiamento funziona in entrambe le direzioni. «L'obiettivo è che le comunità contribuiscano alle nostre decisioni. Ci sono persone, oltre agli sviluppatori e ai clienti paganti, che hanno esigenze relative alla libreria OpenSSL. Hanno bisogno di capacità, funzionalità, qualsiasi cosa il software possa offrire. La piattaforma Loomio, che abbiamo chiamato OpenSSL Communities, è uno spazio in cui possono esprimere le loro esigenze, discuterne e infine farle prendere in considerazione dai rappresentanti dell'OpenSSL Project e dal consiglio di amministrazione. Riceviamo dalla comunità feedback in tempo reale sulle funzionalità proposte prima di realizzarle.»
Le comunità possono esprimere le proprie esigenze. L'OpenSSL Project può proporre funzionalità prima di svilupparle. «Quando pensiamo che sia il momento di realizzare una certa funzionalità, informiamo le comunità che stiamo per farlo. E che lo faremo in questo modo. E siamo felici di ascoltarvi. Di ricevere feedback.»
Il voto dei delegati
Una funzionalità di cui l'OpenSSL Project aveva bisogno non esisteva ancora in Loomio. Nei gruppi delle comunità organizzati per dimensione, una grande azienda con migliaia di dipendenti poteva facilmente prevalere su tutte le altre con i propri voti. «Quando facciamo un sondaggio per il consenso tra gruppi, vorremmo vedere cosa pensano le diverse organizzazioni di un determinato argomento. Quindi è molto facile per un'organizzazione con migliaia di dipendenti prevalere su una più piccola.»
Avevano bisogno che ogni organizzazione avesse un voto (indipendentemente dal numero di dipendenti partecipanti). La soluzione: individuare un delegato per organizzazione. «Così, quando facciamo un sondaggio nei nostri gruppi e limitiamo la partecipazione a una persona o a una voce per azienda, creiamo un sondaggio solo per i delegati. E otteniamo esiti rappresentativi da questi sondaggi, in cui ogni azienda ha un solo voto.»
Rob ha sviluppato il sistema dei delegati proprio per le esigenze dell'OpenSSL Project. La nuova funzionalità si è rivelata fondamentale durante le elezioni dei comitati consultivi. «Abbiamo avuto, in particolare nella comunità delle grandi imprese, un'elezione molto combattuta in cui sei persone si contendevano un seggio. Era evidente che una grande azienda avrebbe potuto superare qualsiasi altro candidato con i propri voti e far eleggere il proprio.» Con i delegati, un voto per azienda, quel vantaggio è scomparso.
Il sistema si estende anche a organizzazioni come gli istituti accademici. Diverse università hanno più persone che partecipano, ma per alcune decisioni l'OpenSSL Project consente un solo voto per istituzione.
Creare una memoria organizzativa
Per un progetto di 26 anni, il contesto storico è importante. «La libreria OpenSSL è un progetto molto vecchio. E in passato prendevamo molte decisioni a porte chiuse. Le nostre decisioni hanno lasciato molte persone insoddisfatte.»
Le persone chiedevano perché l'OpenSSL Project avesse fatto determinate scelte. «A volte ci chiedono: perché avete preso una decisione in questo modo e non in un altro? Non sempre potevamo indicare un documento del passato che spiegasse perché la decisione fosse stata presa.»
Loomio crea quel documento. «Loomio è molto importante per noi, non solo dal punto di vista dei contributi che vogliamo raccogliere, ma anche da quello dell'archiviazione.» Ora le persone possono indicare la discussione precisa in cui è stata presa una decisione e capire perché.
La trasparenza ha anche un altro scopo. Molti restano scettici sul fatto che i contributi della comunità contino davvero. «Abbiamo ancora a che fare con persone che non credono che funzioni. Una delle cose che cerco di fare il più possibile è dare loro esempi che mostrino che il processo funziona. Gli utenti non credono di poter cambiare qualcosa. Apportando questi piccoli cambiamenti e mostrando la capacità degli utenti di influenzare una decisione, possiamo dimostrare che funziona davvero.»
Ha notato un circolo positivo. «La partecipazione crea altra partecipazione.» Più contenuti e contesto offrono, più membri delle comunità si uniscono. Più il loro processo decisionale diventa visibile, più è facile dimostrare che il metodo funziona.
Per un progetto di sicurezza in cui fiducia e privacy sono così fondamentali, una governance trasparente è essenziale per la sua missione. «Lavoriamo sulla crittografia e dobbiamo essere degni di fiducia. Per esserlo, l'unico modo, o uno dei principali, è essere aperti.»
Lavoriamo sulla crittografia e dobbiamo essere degni di fiducia. Per esserlo, l'unico modo, o uno dei principali, è essere aperti.
Il contatto di persona
Nell'ottobre 2025, OpenSSL Corporation ha organizzato una conferenza a Praga. L'ha progettata con grande attenzione. «Abbiamo deciso di organizzare questa conferenza in modo che non fosse una conferenza di vendita e non fosse solo per ingegneri.»
Arapov ha invitato Rob a partecipare e a presentare Loomio. «Per noi dell'OpenSSL Project, alla conferenza, oltre a incontrare la comunità e il team, era molto importante parlare al pubblico di ciò che avevamo fatto diversamente, di ciò che avevamo fatto di nuovo. Il sito web OpenSSL Community, basato sul software Loomio, era molto importante. Quindi avere lì qualcuno di Loomio è stato di enorme aiuto.»
La presenza di Rob è stata utile in diversi modi. «Alcuni erano scettici. Non capivano la decisione di usare Loomio. È stato davvero utile poter parlare con loro e spiegare meglio il contesto e le intenzioni alla base dell'implementazione di Loomio.»
La conferenza ha rivelato qualcosa di più profondo sulla costruzione di una comunità. «Incontrarsi faccia a faccia fa un'enorme differenza», racconta Arapov.
«Mi piacerebbe vedere alcune o tutte queste persone presenti alla conferenza nelle OpenSSL Communities, perché chi è venuto ci tiene davvero, e con chi ci tiene... dobbiamo rimanere in contatto... Sono venuti alla conferenza perché volevano incontrarsi di persona.»
Le relazioni nate online attraverso le discussioni su Loomio si sono estese e ampliate nel mondo fisico della conferenza. Inoltre, la partecipazione online è cresciuta grazie alle chiamate mensili della comunità OpenSSL Communities: Large Businesses, che hanno creato maggiori opportunità di confronto e coinvolgimento. «È stato incredibile vedere in un'unica chiamata ingegneri, clienti e dirigenti di aziende come Amazon, Microsoft, Hewlett-Packard, Cisco e Juniper. Non hanno altre occasioni per stare insieme.» Il ruolo dell'OpenSSL Project nel riunire le persone sta facendo una grande differenza e aumentando la partecipazione sia online sia di persona.
Consigli per i progetti open source
Alla domanda su quali consigli darebbe ad altre organizzazioni open source, Arapov parla direttamente di un aspetto spesso trascurato. «È molto importante che la comunità degli sviluppatori non sia l'unica comunità di un progetto open source. È un problema di molti progetti open source, perché nella maggior parte dei casi sono gli sviluppatori stessi a dare vita alla comunità e a tenere molto a questi progetti.»
«Possono pensare di avere una comunità vivace, ma il più delle volte sono altri sviluppatori a usare il loro software. Molto spesso, però, esiste un gruppo molto più ampio di utenti.»
Trovare questi altri utenti è importante.
«L'interazione tra sviluppatori è importante. Ma la sfida più grande è trovare modi per andare oltre il mondo dell'ingegneria e collegarsi con gli utenti, i requisiti di conformità, le realtà aziendali e l'ecosistema più ampio.»
Per l'OpenSSL Project, Loomio è diventato quel ponte. Un modo per creare comunità e strutturare le conversazioni tra utenti con esigenze completamente diverse. «Avevamo una certa esperienza. Per esempio, sapevamo che grandi e piccole imprese avevano esigenze molto diverse. Le piccole imprese sono agili e usano spesso strumenti nuovi, cose nuove; possono cambiare frequentemente. Le grandi organizzazioni mettono al primo posto la coerenza e la prevedibilità, e il resto è meno importante.»
Comprendere differenze come queste determina direttamente ciò che è la libreria OpenSSL. Era fondamentale invitare e coinvolgere una varietà di prospettive delle comunità, affinché ciò che sviluppavano rispecchiasse esigenze reali.
Guardando avanti
La governance dell'OpenSSL Project rimane volutamente essenziale. «Non siamo una grande organizzazione, quindi manteniamo al minimo gli oneri legati alle nostre decisioni.» Attualmente il processo decisionale a livello di leadership è semplice.
Arapov si aspetta che questo cambi. «Stiamo valutando di estendere l'uso di Loomio al processo decisionale per tracciarlo e registrarlo. Pensiamo anche che sarà più importante in futuro, quando ci saranno più posizioni nel consiglio di amministrazione, quindi più persone nella discussione e più opinioni da raccogliere.»
La piattaforma nata come strumento di coinvolgimento delle comunità potrebbe evolversi anche nel loro sistema di governance interna. Per ora ha uno scopo principale: creare canali verso comunità che non avevano mai raggiunto prima. L'OpenSSL Project dà a queste comunità una voce concreta nel definire gli strumenti di sicurezza e privacy che proteggono il traffico Internet globale.
Per un progetto di sicurezza che si avvicina al suo terzo decennio, dare priorità alla fiducia e alle relazioni attraverso un processo decisionale aperto è la base da cui dipende tutto il resto.
Tag: Comunità Casi di studio
