Varnost in skladnost

Preverjanje pristnosti

• Žetoni za dostop so kratkotrajni JWT-ji (15 minut), preverjeni na prehodu API; žetoni za osvežitev veljajo 30 dni nedejavnosti in največ 90 dni, zamenjajo se ob vsaki uporabi in so shranjeni v piškotku HttpOnly, Secure, SameSite. Ponovna uporaba zamenjanega žetona za osvežitev prekliče celotno verigo.
• Ključi za podpisovanje se menjajo vsakih 90 dni s prekrivanjem; javni ključi so objavljeni na /.well-known/jwks.json.
• Dovoljenja niso vdelana v žetone: berejo se ob vsaki zahtevi, zato sprememba vloge začne veljati takoj, vsako sejo pa je mogoče centralno preklicati.
• Dvofaktorsko preverjanje pristnosti (TOTP) je lahko neobvezno, obvezno za Lastnike in Skrbnike ali obvezno za vse. Enotna prijava prek Google Workspace in Apple je na voljo v vsakem paketu. SAML 2.0, ključi za dostop (passkeys) in dodeljevanje SCIM so načrtovani in še niso na voljo.
• Ključi API so prikazani samo enkrat, shranjeni kot zgoščena vrednost SHA-256, imajo obsege iz zaprtega kataloga, omejeni so z dovoljenji lastnika in jih je mogoče takoj preklicati. Glejte Preverjanje pristnosti.
• Prijava je omejena po IP naslovu in po e-poštnem naslovu; deset neuspelih poskusov zaklene račun za 30 minut; neuspeli poskusi z enega IP naslova se štejejo in beležijo, vendar ta naslov privzeto ni blokiran. Vsaka prijava, neuspeh, osvežitev, sprememba dovoljenj in skrbniško dejanje se zapiše v revizijski dnevnik.

Izolacija najemnikov

Vsaka vrstica v vsaki storitvi nosi račun, ki mu pripada, vsaka poizvedba pa se samodejno filtrira po njem; izklop filtra zahteva izrecen klic s seznama dovoljenih, ki ga uporabljajo samo operacije osebja med najemniki in je pokrit s testi. Vloge, vezane na spletna mesta, dodajo še filter spletnega mesta. Zahteva za vir drugega računa odgovori z 404, nikoli z 403, da ID-jev ni mogoče naštevati. Vsaka končna točka za pisanje uporablja strog seznam dovoljenih polj. Test dostopa med računi je obvezen za vsako novo končno točko.

Glava X-Account-Id v vsaki zahtevi se preveri glede na žeton, zato napaka odjemalca ali ponovno uporabljen žeton nikoli ne moreta tiho prebrati podatkov drugega najemnika.

Šifriranje

TLS 1.2 ali novejši do vsake javne končne točke, vzajemni TLS med storitvami, TLS do vsake shrambe podatkov, šifrirani nosilci v mirovanju in ovojno šifriranje občutljivih polj za vsak račun. Javna potrdila se izdajajo in obnavljajo samodejno; notranja potrdila so kratkotrajna.

Skrivnosti

Vse skrivnosti, vključno z vašimi ključi ponudnikov BYOK in skrivnostmi webhookov, so v namenskem upravitelju skrivnosti, šifrirane, omejene po storitvah in revidirane. Nič ni v sistemu za nadzor različic (to se uveljavlja s pregledovanjem pred vsakim commitom) ali v slikah vsebnikov (preverjeno v CI). Razvijalci privzeto nimajo dostopa do produkcijskih skrivnosti; dostop v sili zahteva dve odobritvi, je kratkotrajen in se zabeleži v kanal, ki ga ni mogoče utišati.

Webhooki

Odhodne dostave so podpisane s HMAC-SHA256 nad časovnim žigom in surovim telesom, nosijo nonce in ID dogodka, zunaj petminutnega okna so zavrnjene in se ponavljajo s podaljševanjem premora vse do čakalne vrste nedostavljivih sporočil. Skrivnosti se menjajo z obdobjem prekrivanja in jih je mogoče takoj preklicati. Dohodni webhooki ponudnikov se preverijo s shemo vsakega ponudnika, preden se karkoli obdela. Podrobnosti: Webhooki.

Omejitve zahtev

Štiri plasti: zaščita pred DDoS in boti na robnem omrežju, omejitve po IP naslovu na obratnem posredniškem strežniku, vedra žetonov po računu in identiteti na prehodu API ter domenske omejitve znotraj storitev. Omejitve so navedene v pregledu API-ja.

Revizija

Vsaka sprememba se zapiše v revizijski dnevnik, v katerega je mogoče samo dodajati in ki je povezan v verigo zgoščenih vrednosti, z dvema razredoma hrambe: splošni dogodki in dogodki skladnosti (zahteve posameznikov, kršitve, podobdelovalci in zapisi KYC). Razred se dodeli ob zapisu vnosa; dnevnika ne more urejati ali brisati nihče, samodejno čiščenje po razredih pa še ne deluje. Lastniki in Skrbniki ga lahko filtrirajo in izvozijo. Gesla, žetoni in ključi se nikoli ne beležijo; plast za beleženje prikrije znane občutljive ključe.

Varstvo podatkov

• Zahteve posameznikov po GDPR, UK GDPR, CCPA in LGPD (dostop, izvoz, izbris) se prejemajo in spremljajo v konzoli za skladnost z roki. Izbris izvedejo zaposleni RolChat, zahteva pa se zapre šele, ko ga potrdijo; samodejnega izbrisa v vseh modulih še ni.
• Lokacija podatkov: podatki so shranjeni v EU. Regija se ob registraciji ne izbere glede na državo; nastavitev regije v nastavitvah računa se le zabeleži in podatkov zaenkrat ne premakne.
• Hramba glede na paket: 1, 2 ali 3 leta. Izbrisan pogovor ali stik je skrit do konca tega obdobja; izbris računa je zahteva s 30 dnevi za preklic, nato zaposleni podatke izbrišejo; neplačan račun se hrani 90 dni in nato izbriše. Samodejno čiščenje, ki ta obdobja uveljavlja, se uvaja.
• Pogodba o obdelavi podatkov, seznam podobdelovalcev, pravilnik o zasebnosti in pravilnik o piškotkih so objavljeni na rolchat.com; pogodbo o obdelavi sprejmete ob registraciji.
• Obvestilo o kršitvi v 72 urah, kot zahteva člen 33 GDPR.

Upravljanje ranljivosti

Odvisnosti se nenehno spremljajo; datoteke zaklepanja (lock) so vnesene v repozitorij; osnovne slike so pripete po povzetku (digest); dejanja CI so pripeta na commit. Od bete je enkrat letno načrtovan penetracijski test tretje osebe, ki zajema API, widget in javne strani, ter notranji scenarij predpostavljenega vdora. Zasebni program nagrad za odkrite napake sledi ob splošni razpoložljivosti. Varnostne težave prijavite na security@rolchat.com.

Razpoložljivost

Platforma teče na več vozliščih s samodejnim preklopom ob napaki za storitve brez stanja in upravljano replikacijo za baze podatkov. Cilji razpoložljivosti po paketih so navedeni v vaši pogodbi.

Odziv na incidente

Priročniki za vsako storitev, dežurstva, zunanji sistem za obveščanje, ki deluje tudi, ko naša lastna infrastruktura ne, in obveznosti obveščanja strank, vgrajene v postopek.