Saugumas ir atitiktis

Autentifikavimas

• Prieigos žetonai yra trumpalaikiai JWT (15 minučių), tikrinami API šliuze; atnaujinimo žetonai galioja 30 dienų neveiklumo ir daugiausia 90 dienų, keičiami kiekvieno naudojimo metu ir saugomi HttpOnly, Secure, SameSite slapuke. Pakartotinai panaudojus pakeistą atnaujinimo žetoną, atšaukiama visa grandinė.
• Pasirašymo raktai keičiami kas 90 dienų su persidengimu; vieši raktai skelbiami adresu /.well-known/jwks.json.
• Leidimai į žetonus neįtraukiami: jie nuskaitomi kiekvienai užklausai, todėl vaidmens pakeitimas įsigalioja iškart, o bet kurią sesiją galima atšaukti centralizuotai.
• Dviejų veiksnių autentifikavimas (TOTP) gali būti neprivalomas, privalomas Savininkams ir Administratoriams arba privalomas visiems. Vieningas prisijungimas su Google Workspace ir Apple prieinamas visuose planuose. SAML 2.0, prieigos raktai (passkeys) ir SCIM aprūpinimas yra planuojami ir kol kas neprieinami.
• API raktai parodomi vieną kartą, saugomi kaip SHA-256 maiša, jų aprėptis parenkama iš uždaro katalogo, ribojama savininko leidimų, ir juos galima atšaukti akimirksniu. Žr. Autentifikavimas.
• Prisijungimas ribojamas pagal IP ir el. pašto adresą; dešimt nesėkmingų bandymų užrakina paskyrą 30 minučių; nesėkmingi bandymai iš vieno IP adreso skaičiuojami ir registruojami, bet pagal numatytuosius nustatymus šis adresas neblokuojamas. Kiekvienas prisijungimas, nesėkmė, atnaujinimas, leidimų pakeitimas ir administratoriaus veiksmas patenka į audito žurnalą.

Nuomininkų izoliacija

Kiekviena kiekvienos tarnybos eilutė nurodo paskyrą, kuriai priklauso, ir kiekviena užklausa pagal ją filtruojama automatiškai; norint išjungti filtrą, reikia aiškaus, leidžiamųjų sąraše esančio iškvietimo, kurį naudoja tik darbuotojų operacijos tarp nuomininkų ir kurį dengia testai. Svetainės lygio vaidmenys prideda svetainės filtrą. Užklausa kitos paskyros ištekliui atsako 404, niekada 403, kad nebūtų galima išvardyti ID. Kiekvienas rašymo galinis taškas naudoja griežtą laukų leidžiamųjų sąrašą. Prieigos tarp paskyrų testas privalomas kiekvienam naujam galiniam taškui.

Kiekvienos užklausos antraštė X-Account-Id tikrinama pagal žetoną, todėl kliento klaida ar pakartotinai panaudotas žetonas niekada negali tyliai nuskaityti kito nuomininko duomenų.

Šifravimas

TLS 1.2 ar naujesnė versija kiekvienam viešam galiniam taškui, abipusis TLS tarp tarnybų, TLS kiekvienai duomenų saugyklai, šifruoti saugomi tomai ir kiekvienos paskyros vokinis jautrių laukų šifravimas. Vieši sertifikatai išduodami ir atnaujinami automatiškai; vidiniai sertifikatai yra trumpalaikiai.

Slaptieji duomenys

Visi slaptieji duomenys, įskaitant jūsų BYOK tiekėjų raktus ir webhook’ų paslaptis, saugomi atskiroje slaptųjų duomenų tvarkyklėje, užšifruoti, apriboti kiekvienai tarnybai ir audituojami. Nieko nėra versijų valdyme (tai užtikrina skenavimas prieš kiekvieną commit) ar konteinerių atvaizduose (tikrinama CI). Kūrėjai numatytai neturi prieigos prie gamybinių slaptųjų duomenų; avarinei prieigai reikia dviejų patvirtinimų, ji trumpalaikė ir registruojama kanale, kurio negalima nutildyti.

Webhook’ai

Siunčiami pristatymai pasirašomi HMAC-SHA256 pagal laiko žymą ir neapdorotą turinį, turi nonce ir įvykio ID, atmetami už penkių minučių lango ribų ir kartojami su didėjančiu intervalu iki neįteiktų žinučių eilės. Paslaptys keičiamos su persidengimo langu ir gali būti atšauktos akimirksniu. Gaunami tiekėjų webhook’ai tikrinami pagal kiekvieno tiekėjo schemą prieš ką nors apdorojant. Išsamiau: Webhook’ai.

Užklausų ribojimas

Keturi sluoksniai: DDoS ir botų apsauga kraštiniame tinkle, IP limitai atvirkštiniame tarpiniame serveryje, paskyros ir tapatybės žetonų kibirai API šliuze bei domeno limitai tarnybose. Limitai nurodyti API apžvalgoje.

Auditas

Kiekvienas pakeitimas įrašomas į tik papildomą, maišos grandine susietą audito žurnalą su dviem saugojimo klasėmis: bendri įvykiai ir atitikties įvykiai (duomenų subjektų prašymai, pažeidimai, subtvarkytojai, KYC įrašai). Klasė priskiriama įrašant įvykį; žurnalo niekas negali redaguoti ar ištrinti, o automatinio išvalymo pagal klases kol kas nėra. Savininkai ir Administratoriai gali jį filtruoti ir eksportuoti. Slaptažodžiai, žetonai ir raktai niekada neregistruojami; registravimo sluoksnis paslepia žinomus jautrius raktus.

Duomenų apsauga

• GDPR, UK GDPR, CCPA ir LGPD duomenų subjektų prašymai (prieiga, eksportas, ištrynimas) priimami ir sekami atitikties konsolėje su terminais. Ištrynimą atlieka RolChat darbuotojai, o prašymas uždaromas tik jiems patvirtinus; automatinio ištrynimo visuose moduliuose kol kas nėra.
• Duomenų vieta: duomenys saugomi ES. Regionas registruojantis nepasirenkamas pagal šalį; paskyros nustatymų regiono nustatymas tik užfiksuojamas ir kol kas duomenų neperkelia.
• Saugojimas pagal planą: 1, 2 arba 3 metai. Ištrynus pokalbį ar kontaktą, jis paslepiamas iki šio laikotarpio pabaigos; paskyros ištrynimas yra prašymas su 30 dienų atšaukti, po to darbuotojai ištrina duomenis; neapmokėta paskyra saugoma 90 dienų, tada ištrinama. Automatinis valymas, užtikrinantis šiuos terminus, diegiamas.
• Duomenų tvarkymo sutartis, subtvarkytojų sąrašas, privatumo politika ir slapukų politika paskelbtos rolchat.com; DPA priimama registracijos metu.
• Pranešimas apie pažeidimą per 72 valandas, kaip reikalauja BDAR 33 straipsnis.

Pažeidžiamumų valdymas

Priklausomybės nuolat stebimos; užrakinimo failai įtraukiami į repozitoriją; baziniai atvaizdai fiksuojami pagal maišą; CI veiksmai fiksuojami pagal commit. Trečiosios šalies įsiskverbimo testas nuo beta versijos planuojamas kasmet, apimant API, valdiklį ir viešus puslapius, taip pat vidinį scenarijų, darant prielaidą, kad sistema jau pažeista. Bendrojo prieinamumo metu seks privati klaidų paieškos programa. Apie saugumo problemas praneškite security@rolchat.com.

Prieinamumas

Platforma veikia keliuose mazguose su automatiniu perjungimu būsenos neturinčioms tarnyboms ir valdoma duomenų bazių replikacija. Veikimo laiko tikslai pagal planą nurodyti jūsų sutartyje.

Reagavimas į incidentus

Veiksmų vadovai kiekvienai tarnybai, budėjimų rotacija, išorinė pranešimų sistema, veikianti net tada, kai neveikia mūsų infrastruktūra, ir į procesą įtraukti įsipareigojimai informuoti klientus.