Sigurnost i privatnost

Hosting i lokacija podataka

• Svaki događaj, visitor i račun pohranjeni su u AWS eu-west-1 u Irskoj, kao i sigurnosne kopije.
• Usluga radi na upravljanim AWS uslugama (Lambda, DynamoDB, S3, CloudFront i SES za e-poštu) i na ClickHouse Cloudu, koji čuva pretraživu kopiju događaja i revizijskih zapisa na AWS-u u Irskoj. Nemamo vlastite servere koje treba zakrpiti.
• Zahtjevi stižu na CloudFront edge lokaciju najbližu posjetitelju, koja može biti izvan EU, i dalje putuju šifrovano do Irske.
• Podaci o IP adresi dolaze od ipapi.is, iz Njemačke, koji prima samo IP adresu.

Enkripcija

• Sav promet ka agentu, API-ju i kontrolnoj ploči koristi TLS.
• Baze podataka su šifrirane u mirovanju od strane AWS-a i ClickHouse Clouda.
• Zapečaćeni rezultati šifriraju događaj ključem vašeg projekta (AES-256-GCM), pa ga preglednik ne može čitati ni mijenjati. Taj ključ generišemo i čuvamo jer ga identify koristi za zapečaćivanje, a prikazujemo ga samo jednom: zapečaćeni rezultat mogu otvoriti samo vlasnici ključa projekta.

Ključevi i tajne

• Tajni ključevi se čuvaju kao SHA-256 hash i prikazuju se u cijelosti samo jednom, pri kreiranju.
• Ključevi imaju prefiks i kontrolni zbir, pa ih skeneri curenja mogu pronaći, a pogrešan unos se odbija bez pretrage.
• Webhook-ovi se potpisuju vremenskim žigom, pa vaš server može odbiti lažne i ponovljene pozive. Webhook tajnu čuvamo u cijelosti jer s njom potpisujemo.

Manje podataka po dizajnu

• Agent nikada ne čita WebRTC mrežne adrese, a query stringovi i fragmenti nikada ne napuštaju preglednik.
• Oznake i ocjene nikada se ne vraćaju pregledniku. Zero trust način rada skriva i visitor ID od preglednika, pa agent tada ne pohranjuje ništa.
• URL-ovi stranica i preporučitelji čuvaju se kao izvor i putanja, samo izvor ili uopće ne.

Čuvanje i brisanje

• Svaki projekat čuva događaje 30 dana, 1, 3 ili 5 godina, ili dok ih ne obrišete, što je zadano; istekli događaji se automatski brišu, obično unutar jednog ili dva dana.
• Jedan API poziv briše sve pohranjeno za jedan external ID, drugi sve za jedan uređaj, uključujući njegove veze s preglednicima i IP adresama.
• Brisanje ne obuhvata 90-dnevni keš za pretragu IP adresa, isporuke webhookova (čuvaju se 30 dana), zapise neuspjelih poslova i grešaka (čuvaju se dok ih ne uklonimo) ili sigurnosne kopije (35 dana).

Pristup kontrolnoj tabli

• Lozinke se pohranjuju koristeći scrypt, a svaka promjena računa okončava njegove sesije.
• Naše vlastite prijave provjerava sam servis: loš bot ili identifikacija iz drugog preglednika ne mogu se prijaviti.
• Račun vidi samo projekte koji su mu dodijeljeni. Uloga još nema: svaki član tima može kreirati ključeve, mijenjati postavke, dopustiti pristup podršci i obrisati projekat. Dvofaktorska autentifikacija još nije dostupna.

Pristup podršci

• Naša podrška može čitati događaje, upotrebu i ključeve projekta samo dok to projekt dopušta, u trajanju od 12 sati.
• Članovi tima to odobravaju u postavkama projekta ili prihvatanjem zahtjeva, mogu to prekinuti u bilo kojem trenutku i vide baner dok podrška pregledava.
• Svaka stranica koju support otvori bilježi se u revizijskom dnevniku organizacije.

Usklađenost