Қауіпсіздік және сәйкестік

Аутентификация

• Access токендері - API шлюзында тексерілетін қысқа мерзімді JWT (15 минут); refresh токендері белсенділіксіз 30 күн және ең көбі 90 күн жарамды, әр пайдаланған сайын ауыстырылады және HttpOnly, Secure, SameSite cookie файлында сақталады. Ауыстырылған refresh токенін қайта пайдалану бүкіл тізбекті кері қайтарады.
• Қол қою кілттері әр 90 күн сайын қабаттасумен ауыстырылады; жария кілттер /.well-known/jwks.json мекенжайында жарияланады.
• Рұқсаттар токендерге енгізілмейді: олар әр сұрау кезінде оқылады, сондықтан рөлдің өзгеруі бірден күшіне енеді, ал кез келген сессияны орталықтан кері қайтаруға болады.
• Екі факторлы аутентификацияны (TOTP) міндетті емес, иелер мен әкімшілер үшін міндетті немесе барлығы үшін міндетті етуге болады. Google Workspace және Apple арқылы бірыңғай кіру (SSO) әр жоспарда қолжетімді. SAML 2.0, passkeys және SCIM арқылы пайдаланушыларды басқару жоспарланған, әзірге қолжетімсіз.
• API кілттері бір рет көрсетіледі, SHA-256 хеші ретінде сақталады, аймақтары жабық каталогтан таңдалады, иесінің рұқсаттарымен шектеледі және бірден кері қайтарылуы мүмкін. Аутентификация бетін қараңыз.
• Кіру IP және электрондық пошта бойынша шектелген; он сәтсіз әрекет аккаунтты 30 минутқа бұғаттайды; бір IP мекенжайынан болған сәтсіз әрекеттер есептеліп, жазылады, бірақ әдепкі бойынша бұл мекенжай бұғатталмайды. Әр кіру, сәтсіздік, жаңарту, рұқсат өзгерісі және әкімші әрекеті аудит журналына жазылады.

Клиенттерді оқшаулау

Әр сервистегі әр жол өзі тиесілі аккаунтты көрсетеді, ал әр сұрау сол бойынша автоматты түрде сүзіледі; сүзгіні өшіру үшін тек қызметкерлердің клиенттер арасындағы операцияларында қолданылатын, тестілермен қамтылған, рұқсат тізіміндегі арнайы шақыру қажет. Сайт деңгейіндегі рөлдер оған қоса сайт сүзгісін қосады. Басқа аккаунттың ресурсына сұрау ID-лерді тізіп шығуға болмауы үшін ешқашан 403 емес, 404 қайтарады. Жазуға арналған әр эндпоинт өрістердің қатаң рұқсат тізімін қолданады. Әр жаңа эндпоинт үшін аккаунттар арасындағы қол жеткізу тесті міндетті.

Әр сұраудағы X-Account-Id тақырыбы токенмен салыстырылады, сондықтан клиенттегі қате немесе қайта жіберілген токен басқа клиенттің деректерін ешқашан байқаусыз оқи алмайды.

Шифрлау

Әр жария эндпоинтке TLS 1.2 немесе жаңарағы, сервистер арасында өзара TLS, әр деректер қоймасына TLS, сақтаудағы шифрланған томдар және құпия өрістер үшін әр аккаунтқа жеке конверттік шифрлау. Жария сертификаттар автоматты түрде беріліп, жаңартылады; ішкі сертификаттар қысқа мерзімді.

Құпиялар

Барлық құпиялар, соның ішінде BYOK провайдер кілттеріңіз бен вебхук құпиялары, шифрланған, сервис бойынша шектелген және аудиттелетін арнайы құпиялар менеджерінде сақталады. Бастапқы код репозиторийінде (әр commit алдындағы сканерлеу арқылы қамтамасыз етіледі) немесе контейнер образдарында (CI-да тексеріледі) ештеңе жоқ. Әзірлеушілердің әдепкі бойынша өндірістік құпияларға қолжетімділігі жоқ; шұғыл қол жеткізу екі мақұлдауды талап етеді, қысқа мерзімді және өшіруге болмайтын арнаға жазылады.

Вебхуктар

Шығыс жеткізілімдерге уақыт белгісі мен өңделмеген дене бойынша HMAC-SHA256 арқылы қол қойылады, оларда nonce пен оқиға ID-і болады, бес минуттық терезеден тыс болса қабылданбайды және кідіріспен қайталанып, жеткізілмеген хабарламалар кезегіне түседі. Құпиялар қабаттасу кезеңімен ауыстырылады және бірден кері қайтарылуы мүмкін. Провайдерлерден келетін кіріс вебхуктар ештеңе өңделмей тұрып әр провайдердің өз схемасымен тексеріледі. Толығырақ: Вебхуктар.

Сұрау лимиттері

Төрт деңгей: шеткі желідегі DDoS пен боттардан қорғау, кері проксидегі IP бойынша лимиттер, API шлюзындағы аккаунт және сәйкестік бойынша token bucket лимиттері және сервистер ішіндегі домендік лимиттер. Лимиттер API шолуында берілген.

Аудит

Әр өзгеріс тек толықтырылатын, хеш-тізбекпен байланысқан аудит журналына жазылады, оның екі сақтау класы бар: жалпы оқиғалар және сәйкестік оқиғалары (деректер субъектілерінің сұраулары, бұзушылықтар, қосалқы өңдеушілер мен KYC жазбалары). Класс жазба жасалғанда тағайындалады; журналды ешкім өзгерте де, жоя да алмайды, ал класс бойынша автоматты тазалау әзірге жұмыс істемейді. Иелер мен әкімшілер оны сүзіп, экспорттай алады. Құпиясөздер, токендер мен кілттер ешқашан логқа жазылмайды; логтау қабаты белгілі құпия кілттерді жасырады.

Деректерді қорғау

• GDPR, UK GDPR, CCPA және LGPD бойынша деректер субъектілерінің сұраулары (қолжетімділік, экспорт, жою) сәйкестік консолінде қабылданып, мерзімдерімен бірге қадағаланады. Жоюды RolChat қызметкерлері орындайды, ал сұрау олар растағаннан кейін ғана жабылады; барлық модульдер бойынша автоматты жою әзірге жоқ.
• Деректердің орналасуы: деректер ЕО-да сақталады. Аймақ тіркелу кезінде ел бойынша таңдалмайды; тіркелгі баптауларындағы аймақ баптауы тек жазылады және деректерді әзірше көшірмейді.
• Жоспарға байланысты сақтау: 1, 2 немесе 3 жыл. Сөйлесуді немесе контактіні жою оны осы мерзім аяқталғанша жасырады; аккаунтты жою - болдырмау үшін 30 күн берілетін сұрау, содан кейін қызметкерлер деректерді жояды; төленбеген аккаунт 90 күн сақталып, кейін жойылады. Осы мерзімдерді қамтамасыз ететін автоматты тазалау енгізілуде.
• Деректерді өңдеу туралы келісім (DPA), қосалқы өңдеушілер тізімі, құпиялылық саясаты және cookie саясаты rolchat.com сайтында жарияланған; DPA тіркелу кезінде қабылданады.
• GDPR 33-бабының талабы бойынша бұзушылық туралы 72 сағат ішінде хабарлау.

Осалдықтарды басқару

Тәуелділіктер үздіксіз бақыланады; lock файлдары репозиторийге енгізіледі; базалық образдар digest бойынша бекітіледі; CI әрекеттері commit бойынша бекітіледі. Бета кезеңінен бастап жыл сайын үшінші тараптың ену тестісі жоспарланған, ол API-ді, виджетті және жария беттерді, сондай-ақ бұзу болды деп болжанатын ішкі сценарийді қамтиды. Жалпыға қолжетімді нұсқа шыққанда жабық bug bounty бағдарламасы іске қосылады. Қауіпсіздік мәселелері туралы security@rolchat.com мекенжайына хабарлаңыз.

Қолжетімділік

Платформа бірнеше түйінде жұмыс істейді: күйі жоқ сервистер үшін автоматты ауысу, дерекқорлар үшін басқарылатын репликация. Жоспар бойынша қолжетімділік көрсеткіштері келісімшартыңызда көрсетілген.

Оқиғаларға әрекет ету

Әр сервиске арналған іс-әрекет нұсқаулықтары, кезекшілік ротациясы, біздің инфрақұрылым істемей тұрғанда да жұмыс істейтін сыртқы хабарлау жүйесі және процеске кіріктірілген клиенттерді хабардар ету міндеттемелері.