Sigurnost i privatnost

Hosting i boravište podataka

• Svaki događaj, visitor i račun pohranjuju se u AWS eu-west-1 u Irskoj, kao i sigurnosne kopije.
• Usluga radi na upravljanim AWS uslugama (Lambda, DynamoDB, S3, CloudFront i SES za e-poštu) i na ClickHouse Cloudu, koji čuva pretraživu kopiju događaja i revizijskih zapisa na AWS-u u Irskoj. Nemamo vlastite poslužitelje koje treba zakrpiti.
• Zahtjevi stižu na CloudFront edge lokaciju najbližu posjetitelju, koja može biti izvan EU, i dalje putuju šifrirano do Irske.
• Podaci o IP adresi dolaze s ipapi.is, iz Njemačke, koji prima samo IP adresu.

Šifriranje

• Sav promet prema agentu, API-ju i nadzornoj ploči koristi TLS.
• Baze podataka šifrirane su u mirovanju pomoću AWS-a i ClickHouse Clouda.
• Zapečaćeni rezultati šifriraju događaj ključem vašeg projekta (AES-256-GCM), pa ga preglednik ne može čitati niti mijenjati. Taj ključ generiramo i čuvamo jer ga identify koristi za zapečaćivanje, a prikazujemo ga samo jednom: zapečaćeni rezultat mogu otvoriti samo vlasnici ključa projekta.

Ključevi i tajne

• Tajni ključevi pohranjuju se kao SHA-256 hash i prikazuju se u cijelosti samo jednom, pri stvaranju.
• Ključevi imaju prefiks i kontrolni zbroj, pa ih skeneri curenja mogu pronaći, a pogreška u upisu odbija se bez provjere.
• Webhookovi se potpisuju vremenskom oznakom, pa vaš poslužitelj može odbaciti lažne i ponovljene pozive. Webhook tajnu čuvamo u cijelosti jer s njom potpisujemo.

Manje podataka po dizajnu

• Agent nikada ne čita WebRTC mrežne adrese, a query nizovi i fragmenti nikada ne napuštaju preglednik.
• Oznake i ocjene nikada se ne vraćaju pregledniku. Način zero trust skriva i visitor ID od preglednika, a agent tada ne pohranjuje ništa.
• URL-ovi stranica i preporuke čuvaju se kao izvor i putanja, samo kao izvor ili uopće ne.

Zadržavanje i brisanje

• Svaki projekt zadržava događaje 30 dana, 1, 3 ili 5 godina, ili dok ih ne izbrišete, što je zadano; istekli događaji automatski se brišu, obično unutar jednog ili dva dana.
• Jedan API poziv briše sve pohranjeno za jedan external ID, drugi sve za jedan uređaj, uključujući njegove veze s preglednicima i IP adresama.
• Brisanje ne obuhvaća 90-dnevni predmemorijski spremnik za pretraživanje IP-a, isporuke webhookova (čuvaju se 30 dana), zapise neuspjelih zadataka i pogrešaka (čuvaju se dok ih ne uklonimo) ni sigurnosne kopije (35 dana).

Pristup nadzornoj ploči

• Lozinke se pohranjuju pomoću scrypt-a, a svaka promjena računa prekida njegove sesije.
• Naše vlastite prijave provjerava sam servis: loš bot ili identifikacija iz drugog preglednika ne mogu se prijaviti.
• Račun vidi samo projekte koji su mu dodijeljeni. Uloga još nema: svaki član tima može stvarati ključeve, mijenjati postavke, dopustiti pristup podršci i obrisati projekt. Dvofaktorska autentifikacija još nije ponuđena.

Pristup podršci

• Naše podrška može čitati događaje, upotrebu i ključeve projekta samo dok to projekt dopušta, u trajanju od 12 sati.
• Članovi tima ga odobravaju u postavkama projekta ili prihvaćanjem zahtjeva, mogu ga prekinuti u bilo kojem trenutku i vide banner dok ga podrška pregledava.
• Svaka stranica koju support otvori bilježi se u revizijskom dnevniku organizacije.

Usklađenost