सुरक्षा और अनुपालन

प्रमाणीकरण

• एक्सेस टोकन अल्पकालिक JWT (15 मिनट) हैं, जो API गेटवे पर सत्यापित होते हैं; रिफ़्रेश टोकन 30 दिन की निष्क्रियता और अधिकतम 90 दिन तक चलते हैं, हर उपयोग पर बदलते हैं, और HttpOnly, Secure, SameSite कुकी में संग्रहीत होते हैं। बदले जा चुके रिफ़्रेश टोकन का दोबारा उपयोग पूरी चेन रद्द कर देता है।
• साइनिंग कुंजियाँ ओवरलैप के साथ हर 90 दिन में बदलती हैं; सार्वजनिक कुंजियाँ /.well-known/jwks.json पर प्रकाशित होती हैं।
• अनुमतियाँ टोकन में शामिल नहीं होतीं: वे हर अनुरोध पर पढ़ी जाती हैं, इसलिए भूमिका का बदलाव तुरंत लागू होता है, और कोई भी सेशन केंद्रीय रूप से रद्द किया जा सकता है।
• दो-चरणीय प्रमाणीकरण (TOTP) वैकल्पिक, मालिकों और एडमिन के लिए अनिवार्य, या सभी के लिए अनिवार्य हो सकता है। Google Workspace और Apple के साथ सिंगल साइन-ऑन हर प्लान पर उपलब्ध है। SAML 2.0, Passkeys और SCIM प्रोविज़निंग की योजना है और अभी उपलब्ध नहीं हैं।
• API कुंजियाँ एक बार दिखाई जाती हैं, SHA-256 हैश के रूप में संग्रहीत होती हैं, बंद कैटलॉग से स्कोप पाती हैं, अपने मालिक की अनुमतियों तक सीमित रहती हैं और तुरंत रद्द की जा सकती हैं। प्रमाणीकरण देखें।
• साइन-इन हर IP और हर ईमेल के लिए दर-सीमित है; दस असफल प्रयास खाते को 30 मिनट के लिए लॉक कर देते हैं; एक IP पते से असफल प्रयास गिने और दर्ज किए जाते हैं, पर डिफ़ॉल्ट रूप से वह पता ब्लॉक नहीं होता। हर साइन-इन, विफलता, रिफ़्रेश, अनुमति बदलाव और एडमिन कार्रवाई ऑडिट लॉग में जाती है।

टेनेंट अलगाव

हर सेवा की हर पंक्ति में वह खाता होता है जिससे वह जुड़ी है, और हर क्वेरी अपने आप उसी से फ़िल्टर होती है; फ़िल्टर बंद करने के लिए अनुमति सूची में दर्ज स्पष्ट कॉल चाहिए, जो केवल टेनेंट के पार स्टाफ़ ऑपरेशन में इस्तेमाल होती है और टेस्ट से कवर है। साइट-स्तरीय भूमिकाएँ इसके ऊपर साइट फ़िल्टर जोड़ती हैं। किसी दूसरे खाते के संसाधन के अनुरोध का जवाब 404 होता है, कभी 403 नहीं, ताकि ID गिनी न जा सकें। हर लेखन एंडपॉइंट सख़्त फ़ील्ड अनुमति सूची इस्तेमाल करता है। हर नए एंडपॉइंट के लिए क्रॉस-अकाउंट पहुँच परीक्षण अनिवार्य है।

हर अनुरोध का X-Account-Id हेडर टोकन से जाँचा जाता है, इसलिए क्लाइंट की कोई गड़बड़ी या दोबारा भेजा गया टोकन कभी चुपचाप किसी दूसरे टेनेंट का डेटा नहीं पढ़ सकता।

एन्क्रिप्शन

हर सार्वजनिक एंडपॉइंट के लिए TLS 1.2 या नया, सेवाओं के बीच म्यूचुअल TLS, हर डेटास्टोर के लिए TLS, रेस्ट पर एन्क्रिप्टेड वॉल्यूम, और संवेदनशील फ़ील्ड के लिए हर खाते का एनवेलप एन्क्रिप्शन। सार्वजनिक प्रमाणपत्र अपने आप जारी और नवीनीकृत होते हैं; आंतरिक प्रमाणपत्र अल्पकालिक होते हैं।

सीक्रेट

सभी सीक्रेट, आपकी BYOK प्रदाता कुंजियों और वेबहुक सीक्रेट सहित, एक समर्पित सीक्रेट मैनेजर में रहते हैं, एन्क्रिप्टेड, हर सेवा के दायरे में और ऑडिट के साथ। सोर्स कंट्रोल में कुछ नहीं होता (हर commit से पहले स्कैनिंग से लागू) और न ही कंटेनर इमेज में (CI में जाँचा जाता है)। डेवलपर्स के पास डिफ़ॉल्ट रूप से प्रोडक्शन सीक्रेट तक पहुँच नहीं होती; आपातकालीन पहुँच के लिए दो स्वीकृतियाँ चाहिए, यह अल्पकालिक होती है और ऐसे चैनल में लॉग होती है जिसे चुप नहीं कराया जा सकता।

वेबहुक

आउटबाउंड डिलीवरी टाइमस्टैम्प और कच्चे बॉडी पर HMAC-SHA256 से हस्ताक्षरित होती हैं, उनमें nonce और इवेंट ID होता है, पाँच मिनट की विंडो के बाहर अस्वीकार होती हैं, और बैकऑफ़ के साथ डेड-लेटर कतार तक दोबारा कोशिश की जाती हैं। सीक्रेट ओवरलैप विंडो के साथ बदलते हैं और तुरंत रद्द किए जा सकते हैं। प्रदाताओं से आने वाले वेबहुक कुछ भी प्रोसेस होने से पहले हर प्रदाता की अपनी योजना से सत्यापित होते हैं। विवरण: वेबहुक।

दर सीमा

चार परतें: एज नेटवर्क पर DDoS और बॉट सुरक्षा, रिवर्स प्रॉक्सी पर हर IP की सीमाएँ, API गेटवे पर हर खाते और हर पहचान के टोकन बकेट, और सेवाओं के भीतर डोमेन सीमाएँ। सीमाएँ API अवलोकन में हैं।

ऑडिट

हर बदलाव केवल-जोड़ने वाले, हैश-चेन ऑडिट लॉग में लिखा जाता है, जिसकी दो प्रतिधारण श्रेणियाँ हैं: सामान्य इवेंट और अनुपालन इवेंट (डेटा-विषय अनुरोध, उल्लंघन, सब-प्रोसेसर और KYC रिकॉर्ड)। श्रेणी प्रविष्टि लिखते समय तय होती है; लॉग को कोई संपादित या हटा नहीं सकता, और श्रेणी के अनुसार स्वचालित सफ़ाई अभी चालू नहीं है। मालिक और एडमिन इसे फ़िल्टर और एक्सपोर्ट कर सकते हैं। पासवर्ड, टोकन और कुंजियाँ कभी लॉग नहीं होतीं; लॉगिंग परत ज्ञात संवेदनशील कुंजियों को छिपा देती है।

डेटा सुरक्षा

• GDPR, UK GDPR, CCPA और LGPD डेटा-विषय अनुरोध (पहुँच, एक्सपोर्ट, मिटाना) अनुपालन कंसोल में समय-सीमा के साथ स्वीकार और ट्रैक किए जाते हैं। मिटाने का काम RolChat के कर्मचारी करते हैं और अनुरोध तभी बंद होता है जब वे इसकी पुष्टि कर दें; सभी मॉड्यूल में स्वचालित मिटाना अभी उपलब्ध नहीं है।
• डेटा का स्थान: डेटा यूरोपीय संघ में संग्रहीत होता है। साइन-अप के समय क्षेत्र देश के आधार पर नहीं चुना जाता; खाता सेटिंग में क्षेत्र सेटिंग केवल दर्ज होती है और अभी डेटा को स्थानांतरित नहीं करती।
• प्लान के अनुसार प्रतिधारण: 1, 2 या 3 साल। बातचीत या संपर्क हटाने पर वह इस अवधि के अंत तक छिपा रहता है; खाता हटाना एक अनुरोध है जिसे रद्द करने के लिए 30 दिन मिलते हैं, उसके बाद कर्मचारी डेटा मिटाते हैं; अवैतनिक खाता 90 दिन रखा जाता है और फिर मिटा दिया जाता है। इन अवधियों को लागू करने वाली स्वचालित सफ़ाई लाई जा रही है।
• डेटा प्रोसेसिंग समझौता, सब-प्रोसेसर सूची, गोपनीयता नीति और कुकी नीति rolchat.com पर प्रकाशित हैं; DPA साइन-अप पर स्वीकार किया जाता है।
• GDPR अनुच्छेद 33 के अनुसार 72 घंटे के भीतर उल्लंघन की सूचना।

कमज़ोरियों का प्रबंधन

निर्भरताओं की लगातार निगरानी होती है; लॉक फ़ाइलें commit की जाती हैं; बेस इमेज digest से पिन होती हैं; CI कार्रवाइयाँ commit से पिन होती हैं। बीटा से हर साल तृतीय-पक्ष पेनिट्रेशन टेस्ट निर्धारित है, जो API, विजेट और सार्वजनिक पेजों को कवर करता है, साथ ही उल्लंघन मानकर आंतरिक परिदृश्य भी। सामान्य उपलब्धता पर एक निजी बग बाउंटी आएगा। सुरक्षा समस्याएँ security@rolchat.com पर रिपोर्ट करें।

उपलब्धता

प्लेटफ़ॉर्म कई नोड पर चलता है, स्टेटलेस सेवाओं के लिए स्वचालित फ़ेलओवर और डेटाबेस के लिए प्रबंधित प्रतिकृति के साथ। प्लान के अनुसार अपटाइम लक्ष्य आपके अनुबंध में दिए गए हैं।

घटना प्रतिक्रिया

हर सेवा के लिए रनबुक, ऑन-कॉल रोटेशन, एक बाहरी पेजर जो हमारे अपने इन्फ़्रास्ट्रक्चर के न चलने पर भी काम करता है, और प्रक्रिया में शामिल ग्राहक सूचना दायित्व।