Bezpečnosť a súlad s predpismi

Overovanie

Prístupové tokeny sú krátkodobé JWT (15 minút) overované na bráne API; obnovovacie tokeny žijú 30 dní nečinnosti a najviac 90 dní, menia sa pri každom použití a ukladajú sa do cookie HttpOnly, Secure, SameSite. Opätovné použitie vymeneného obnovovacieho tokenu zruší celú reťaz.
Podpisové kľúče sa menia každých 90 dní s prekryvom; verejné kľúče sa zverejňujú na /.well-known/jwks.json.
Oprávnenia nie sú uložené v tokenoch: čítajú sa pri každej požiadavke, takže zmena roly platí okamžite a každú reláciu možno centrálne zrušiť.
Dvojfaktorové overenie (TOTP) môže byť voliteľné, povinné pre Vlastníkov a Administrátorov, alebo povinné pre všetkých. Jednotné prihlásenie cez Google Workspace a Apple je k dispozícii v každom pláne. SAML 2.0, prístupové kľúče (passkeys) a provisioning SCIM sú plánované a zatiaľ nie sú k dispozícii.
Kľúče API sa zobrazia iba raz, ukladajú sa ako hash SHA-256, majú rozsahy z uzavretého katalógu, sú obmedzené oprávneniami svojho vlastníka a možno ich okamžite zrušiť. Pozrite Overovanie.
Prihlasovanie má limity podľa IP a podľa e-mailu; desať neúspešných pokusov zablokuje účet na 30 minút; neúspešné pokusy z jednej IP adresy sa počítajú a zaznamenávajú, ale predvolene túto adresu neblokujú. Každé prihlásenie, zlyhanie, obnovenie, zmena oprávnení aj administrátorská akcia sa zapisuje do auditného logu.

Izolácia tenantov

Každý riadok v každej službe nesie účet, ku ktorému patrí, a každý dotaz sa podľa neho automaticky filtruje; vypnutie filtra vyžaduje explicitné volanie zo zoznamu povolených, ktoré používajú len operácie zamestnancov naprieč tenantmi a ktoré je pokryté testami. Roly viazané na weby pridávajú navyše filter webu. Požiadavka na zdroj iného účtu odpovie 404, nikdy 403, aby nebolo možné ID vymenovať. Každý zapisovací endpoint používa striktný zoznam povolených polí. Test prístupu naprieč účtami je povinný pre každý nový endpoint.

Hlavička X-Account-Id v každej požiadavke sa overuje voči tokenu, takže chyba klienta ani znova použitý token nikdy nemôžu potichu čítať dáta iného tenanta.

Šifrovanie

TLS 1.2 alebo novšie ku každému verejnému endpointu, vzájomné TLS medzi službami, TLS ku každému úložisku dát, šifrované zväzky v pokoji a obálkové šifrovanie citlivých polí pre každý účet. Verejné certifikáty sa vydávajú a obnovujú automaticky; interné certifikáty sú krátkodobé.

Tajné kľúče

Všetky tajné kľúče, vrátane vašich kľúčov poskytovateľov BYOK a tajných kľúčov webhookov, sú vo vyhradenom správcovi tajomstiev, šifrované, obmedzené na jednotlivé služby a auditované. Nič nie je v správe verzií (vynútené skenovaním pred každým commitom) ani v obrazoch kontajnerov (kontrolované v CI). Vývojári predvolene nemajú prístup k produkčným tajným kľúčom; núdzový prístup vyžaduje dve schválenia, je krátkodobý a loguje sa do kanála, ktorý nemožno stlmiť.

Webhooky

Odchádzajúce doručenia sa podpisujú pomocou HMAC-SHA256 nad časovou pečiatkou a surovým telom, nesú nonce a ID udalosti, mimo päťminútového okna sa odmietajú a opakujú sa s rastúcim oneskorením až do frontu nedoručiteľných správ. Tajné kľúče sa menia s prekryvným obdobím a možno ich okamžite zrušiť. Prichádzajúce webhooky poskytovateľov sa overujú schémou daného poskytovateľa skôr, než sa čokoľvek spracuje. Podrobnosti: Webhooky.

Limity požiadaviek

Štyri vrstvy: ochrana proti DDoS a botom na okrajovej sieti, limity podľa IP na reverznom proxy, token buckety podľa účtu a identity na bráne API a doménové limity vnútri služieb. Limity sú uvedené v prehľade API.

Audit

Každá zmena sa zapisuje do auditného logu, do ktorého možno len pridávať a ktorý je zreťazený pomocou hashov, s dvoma triedami uchovávania: všeobecné udalosti a udalosti súladu s predpismi (žiadosti dotknutých osôb, porušenia ochrany údajov, ďalší sprostredkovatelia a záznamy KYC). Trieda sa priradí pri zápise záznamu; log nemôže nikto upraviť ani zmazať a automatické čistenie podľa tried zatiaľ nebeží. Vlastníci a Administrátori ho môžu filtrovať a exportovať. Heslá, tokeny a kľúče sa nikdy nelogujú; logovacia vrstva známe citlivé kľúče začierňuje.

Ochrana dát

Žiadosti dotknutých osôb podľa GDPR, UK GDPR, CCPA a LGPD (prístup, export, vymazanie) sa prijímajú a sledujú v konzole pre súlad s predpismi s termínmi. Vymazanie vykonávajú zamestnanci RolChat a žiadosť sa uzavrie až po ich potvrdení; automatické vymazanie naprieč všetkými modulmi zatiaľ nie je k dispozícii.
Umiestnenie dát: dáta sú uložené v EÚ. Región sa pri registrácii nevyberá podľa krajiny; nastavenie regiónu v nastaveniach účtu sa iba zaznamená a dáta zatiaľ nepresúva.
Uchovávanie podľa plánu: 1, 2 alebo 3 roky. Zmazanie konverzácie alebo kontaktu ju skryje do konca tejto lehoty; zmazanie účtu je žiadosť s 30 dňami na zrušenie, po ktorých zamestnanci dáta vymažú; neuhradený účet sa uchováva 90 dní a potom sa vymaže. Automatické čistenie, ktoré tieto lehoty vynucuje, sa postupne zavádza.
Zmluva o spracúvaní osobných údajov, zoznam ďalších sprostredkovateľov, zásady ochrany osobných údajov a zásady cookies sú zverejnené na rolchat.com; zmluvu o spracúvaní prijímate pri registrácii.
Oznámenie o porušení ochrany údajov do 72 hodín, ako vyžaduje článok 33 GDPR.

Správa zraniteľností

Závislosti sa priebežne monitorujú; lock súbory sa commitujú; základné obrazy sú pripnuté pomocou digestu; akcie CI sú pripnuté na commit. Od bety je každý rok naplánovaný penetračný test treťou stranou, ktorý pokrýva API, widget a verejné stránky, plus interný scenár predpokladaného prieniku. Súkromný bug bounty program príde so všeobecnou dostupnosťou. Bezpečnostné problémy hláste na security@rolchat.com.

Dostupnosť

Platforma beží na viacerých uzloch s automatickým prepnutím pri výpadku pri bezstavových službách a spravovanou replikáciou databáz. Ciele dostupnosti podľa plánu sú uvedené vo vašej zmluve.

Reakcia na incidenty

Prevádzkové postupy pre každú službu, rotácia pohotovosti, externý systém upozornení, ktorý funguje aj vtedy, keď naša vlastná infraštruktúra nefunguje, a povinnosti informovať zákazníkov zabudované do procesu.