Бяспека і прыватнасць

Хостынг і месцазнаходжанне даных

• Кожная падзея, visitor і ўліковы запіс захоўваюцца ў AWS eu-west-1 у Ірландыі, як і рэзервовыя копіі.
• Сервіс працуе на кіраваных сэрвісах AWS (Lambda, DynamoDB, S3, CloudFront і SES для электроннай пошты) і на ClickHouse Cloud, які захоўвае даступную для пошуку копію падзей і журналаў аўдыту ў AWS у Ірландыі. Уласных сервераў, якія трэба абнаўляць, няма.
• Запыты паступаюць на бліжэйшую да наведвальніка edge-лакацыю CloudFront, якая можа знаходзіцца за межамі ЕС, і далей перадаюцца зашыфраванымі ў Ірландыю.
• Звесткі пра IP паступаюць ад ipapi.is у Германіі, які атрымлівае толькі IP-адрас.

Шыфраванне

• Увесь трафік да агента, API і панэлі выкарыстоўвае TLS.
• Базы дадзеных шыфруюцца ў спакоі сродкамі AWS і ClickHouse Cloud.
• Запячатаныя вынікі шыфруюць падзею ключом вашага праекта (AES-256-GCM), таму браўзер не можа яе прачытаць або змяніць. Мы генеруем і захоўваем гэты ключ, бо identify выкарыстоўвае яго для запячатвання, і паказваем яго адзін раз: адкрыць запячатаны вынік могуць толькі ўладальнікі ключа праекта.

Ключы і сакрэты

• Сакрэтныя ключы захоўваюцца як хэш SHA-256 і паказваюцца поўнасцю толькі адзін раз, пры стварэнні.
• Ключы маюць прэфікс і кантрольную суму, каб сканеры ўцечак маглі іх знайсці, а памылковы ключ адхіляецца без праверкі.
• Webhook падпісваюцца пазнакай часу, таму ваш сервер можа адхіляць падробленыя і паўторныя выклікі. Webhook secret захоўваем цалкам, бо падпісваем ім.

Менш даных па задуме

• Агент никада не чытае сеткавыя адрасы WebRTC, а радкі запытаў і фрагменты ніколі не пакідаюць браўзер.
• Сцяжкі і ацэнкі ніколі не вяртаюцца ў браўзер. Рэжым zero trust хавае ад браўзера і visitor ID, і тады agent нічога не захоўвае.
• URL-адрасы старонак і крыніцы пераходаў захоўваюцца як пачатак і шлях, толькі пачатак або не захоўваюцца зусім.

Захоўванне і выдаленне

• Кожны праект захоўвае падзеі 30 дзён, 1, 3 або 5 гадоў альбо да іх выдалення, што з'яўляецца значэннем па змаўчанні; пратэрмінаваныя падзеі выдаляюцца аўтаматычна, звычайна на працягу аднаго-двух дзён.
• Адзін API-выклік выдаляе ўсё, што захавана для аднаго external ID, іншы — усё для адной прылады, у тым ліку яе сувязі з браўзерамі і IP-адрасамі.
• Выдаленне не закранае 90-дзённы кэш пошуку IP, дастаўкі webhook (захоўваюцца 30 дзён), запісы няўдалых задач і памылак (захоўваюцца, пакуль мы іх не выдалім) або рэзервовыя копіі (35 дзён).

Доступ да панэлі кіравання

• Паролі захоўваюцца з дапамогай scrypt, і кожная змена ўліковага запісу завяршае яго сеансы.
• Нашыя ўласныя ўваходы правяраюцца самім сэрвісам: кепскі бот або ідэнтыфікацыя з іншага браўзера не могуць увайсці.
• Уліковы запіс бачыць толькі тыя праекты, якія яму далі. Роляў пакуль няма: кожны ўдзельнік каманды можа ствараць ключы, мяняць налады, дазваляць доступ падтрымкі і выдаляць праект. Двухфактарная аўтэнтыфікацыя пакуль не прадугледжана.

Доступ падтрымкі

• Наша служба падтрымкі можа чытаць падзеі, выкарыстанне і ключы праекта толькі пакуль праект гэта дазваляе, па 12 гадзін за раз.
• Члены каманды даюць доступ у наладах праекта або прыняўшы запыт, могуць спыніць яго ў любы час і бачаць банер, пакуль падтрымка праглядае.
• Кожная старонка, якую адкрывае падтрымка, запісваецца ў журнал аўдыту арганізацыі.

Адпаведнасць