Zabezpečení a shoda s předpisy

Ověřování

• Přístupové tokeny jsou krátkodobé JWT (15 minut) ověřované na bráně API; obnovovací tokeny žijí 30 dní nečinnosti a nejvýše 90 dní, mění se při každém použití a ukládají se do cookie HttpOnly, Secure, SameSite. Opětovné použití vyměněného obnovovacího tokenu zruší celý řetězec.
• Podpisové klíče se mění každých 90 dní s překryvem; veřejné klíče se zveřejňují na /.well-known/jwks.json.
• Oprávnění nejsou uložena v tokenech: čtou se při každém požadavku, takže změna role platí okamžitě a každou relaci lze centrálně zrušit.
• Dvoufázové ověření (TOTP) může být volitelné, povinné pro Vlastníky a Administrátory, nebo povinné pro všechny. Jednotné přihlášení přes Google Workspace a Apple je k dispozici v každém tarifu. SAML 2.0, přístupové klíče (passkeys) a provisioning SCIM se plánují a zatím nejsou k dispozici.
• Klíče API se zobrazí jen jednou, ukládají se jako hash SHA-256, mají rozsahy z uzavřeného katalogu, jsou omezené oprávněními svého vlastníka a lze je okamžitě zrušit. Viz Ověřování.
• Přihlašování má limity podle IP a podle e-mailu; deset neúspěšných pokusů zablokuje účet na 30 minut; neúspěšné pokusy z jedné IP adresy se počítají a zaznamenávají, ale ve výchozím nastavení tuto adresu nezablokují. Každé přihlášení, selhání, obnovení, změna oprávnění i administrátorská akce se zapisuje do auditního logu.

Izolace tenantů

Každý řádek v každé službě nese účet, ke kterému patří, a každý dotaz se podle něj automaticky filtruje; vypnutí filtru vyžaduje explicitní volání ze seznamu povolených, které používají jen operace zaměstnanců napříč tenanty a které je pokryté testy. Role vázané na weby přidávají navíc filtr webu. Požadavek na zdroj jiného účtu odpoví 404, nikdy 403, aby nešlo ID vyčíslit. Každý zapisovací endpoint používá striktní seznam povolených polí. Test přístupu napříč účty je povinný pro každý nový endpoint.

Hlavička X-Account-Id v každém požadavku se ověřuje vůči tokenu, takže chyba klienta ani znovu použitý token nikdy nemohou potichu číst data jiného tenanta.

Šifrování

TLS 1.2 nebo novější ke každému veřejnému endpointu, vzájemné TLS mezi službami, TLS ke každému úložišti dat, šifrované svazky v klidu a obálkové šifrování citlivých polí pro každý účet. Veřejné certifikáty se vydávají a obnovují automaticky; interní certifikáty jsou krátkodobé.

Tajné klíče

Všechny tajné klíče, včetně vašich klíčů poskytovatelů BYOK a tajných klíčů webhooků, jsou ve vyhrazeném správci tajemství, šifrované, omezené na jednotlivé služby a auditované. Nic není ve správě verzí (vynuceno skenováním před každým commitem) ani v obrazech kontejnerů (kontrolováno v CI). Vývojáři ve výchozím stavu nemají přístup k produkčním tajným klíčům; nouzový přístup vyžaduje dvě schválení, je krátkodobý a loguje se do kanálu, který nelze ztlumit.

Webhooky

Odchozí doručení se podepisují pomocí HMAC-SHA256 nad časovým razítkem a surovým tělem, nesou nonce a ID události, mimo pětiminutové okno se odmítají a opakují se s rostoucí prodlevou až do fronty nedoručitelných zpráv. Tajné klíče se mění s překryvným obdobím a lze je okamžitě zrušit. Příchozí webhooky poskytovatelů se ověřují schématem daného poskytovatele dřív, než se cokoli zpracuje. Podrobnosti: Webhooky.

Limity požadavků

Čtyři vrstvy: ochrana proti DDoS a botům na okrajové síti, limity podle IP na reverzní proxy, token buckety podle účtu a identity na bráně API a doménové limity uvnitř služeb. Limity jsou uvedeny v přehledu API.

Audit

Každá změna se zapisuje do auditního logu, do kterého lze jen přidávat a který je zřetězený pomocí hashů, se dvěma třídami uchování: obecné události a události shody s předpisy (žádosti subjektů údajů, porušení zabezpečení, zpracovatelé a záznamy KYC). Třída se přiřadí při zápisu záznamu; nikdo nemůže log upravit ani smazat a automatické čištění podle tříd zatím nefunguje. Vlastníci a Administrátoři ho mohou filtrovat a exportovat. Hesla, tokeny a klíče se nikdy nelogují; logovací vrstva známé citlivé klíče začerňuje.

Ochrana dat

• Žádosti subjektů údajů podle GDPR, UK GDPR, CCPA a LGPD (přístup, export, výmaz) se přijímají a sledují v konzoli pro soulad s předpisy s termíny. Výmaz provádějí zaměstnanci RolChat a žádost se uzavře až po jejich potvrzení; automatický výmaz napříč všemi moduly zatím není k dispozici.
• Umístění dat: data jsou uložena v EU. Region se při registraci nevybírá podle země; nastavení regionu v nastavení účtu se pouze zaznamená a data zatím nepřesouvá.
• Uchování podle tarifu: 1, 2 nebo 3 roky. Smazání konverzace nebo kontaktu je skryje do konce této lhůty; smazání účtu je žádost s 30 dny na zrušení, po nichž zaměstnanci data vymažou; neplacený účet se uchovává 90 dní a poté se vymaže. Automatické čištění, které tyto lhůty prosazuje, se postupně zavádí.
• Smlouva o zpracování osobních údajů, seznam dalších zpracovatelů, zásady ochrany osobních údajů a zásady cookies jsou zveřejněny na rolchat.com; smlouvu o zpracování přijímáte při registraci.
• Oznámení o porušení zabezpečení do 72 hodin, jak vyžaduje článek 33 GDPR.

Správa zranitelností

Závislosti se průběžně monitorují; lock soubory se commitují; základní obrazy jsou připnuté pomocí digestu; akce CI jsou připnuté na commit. Od bety je každý rok naplánován penetrační test třetí stranou, který pokrývá API, widget a veřejné stránky, plus interní scénář předpokládaného průniku. Soukromý bug bounty program přijde s obecnou dostupností. Bezpečnostní problémy hlaste na security@rolchat.com.

Dostupnost

Platforma běží na více uzlech s automatickým přepnutím při výpadku u bezstavových služeb a spravovanou replikací databází. Cíle dostupnosti podle tarifu jsou uvedeny ve vaší smlouvě.

Reakce na incidenty

Provozní postupy pro každou službu, rotace pohotovosti, externí systém upozornění, který funguje i tehdy, když naše vlastní infrastruktura nefunguje, a povinnosti informovat zákazníky zabudované do procesu.