Bezpieczeństwo i prywatność

Hosting i lokalizacja danych

• Każde zdarzenie, visitor i konto są przechowywane w AWS eu-west-1 w Irlandii, podobnie jak kopie zapasowe.
• Usługa działa na zarządzanych usługach AWS (Lambda, DynamoDB, S3, CloudFront oraz SES do poczty e-mail) oraz w ClickHouse Cloud, który przechowuje przeszukiwalną kopię zdarzeń i logów audytu w AWS w Irlandii. Nie mamy własnych serwerów do łatania.
• Żądania trafiają do najbliższego odbiorcy CloudFront (edge location), który może znajdować się poza UE, i dalej są przesyłane do Irlandii w formie zaszyfrowanej.
• Dane o IP pochodzą z ipapi.is w Niemczech, które otrzymuje wyłącznie adres IP.

Szyfrowanie

• Cały ruch do agenta, API i panelu korzysta z TLS.
• Bazy danych są szyfrowane w spoczynku przez AWS i ClickHouse Cloud.
• Zabezpieczone wyniki szyfrują zdarzenie kluczem projektu (AES-256-GCM), dzięki czemu przeglądarka nie może go odczytać ani zmienić. Generujemy ten klucz i go przechowujemy, ponieważ identify używa go do zabezpieczania, i pokazujemy go tylko raz: otworzyć zabezpieczony wynik mogą wyłącznie posiadacze klucza projektu.

Klucze i sekrety

• Secret keys są przechowywane jako skrót SHA-256 i wyświetlane w całości tylko raz, po utworzeniu.
• Klucze mają prefiks i sumę kontrolną, dzięki czemu skanery wycieków mogą je znaleźć, a literówka jest odrzucana bez wyszukiwania.
• Webhooki są podpisywane znacznikiem czasu, dzięki czemu serwer może odrzucać podrobione i powtórzone wywołania. Przechowujemy webhook secret w całości, ponieważ podpisujemy nim.

Mniej danych z założenia

• Agent nigdy nie odczytuje adresów sieciowych WebRTC, a query stringi i fragmenty nigdy nie opuszczają przeglądarki.
• Flagi i wyniki nigdy nie wracają do przeglądarki. Tryb zero trust ukrywa przed nią także visitor ID, a agent wtedy niczego nie zapisuje.
• Adresy URL stron i referrery są przechowywane jako origin i ścieżka, tylko jako origin lub wcale.

Przechowywanie i usuwanie

• Każdy projekt przechowuje zdarzenia przez 30 dni, 1, 3 lub 5 lat, albo do ich usunięcia, co jest ustawieniem domyślnym; wygasłe zdarzenia są usuwane automatycznie, zwykle w ciągu dnia lub dwóch.
• Jedno wywołanie API usuwa wszystko zapisane dla jednego external ID, inne – wszystko dla jednego urządzenia, łącznie z jego powiązaniami z przeglądarkami i adresami IP.
• Usunięcie nie obejmuje 90-dniowej pamięci podręcznej wyszukiwania IP, dostarczeń webhooków (przechowywanych 30 dni), rejestrów nieudanych zadań i błędów (przechowywanych do ich usunięcia) ani kopii zapasowych (35 dni).

Dostęp do panelu

• Hasła są przechowywane przy użyciu scrypt, a każda zmiana konta kończy jego sesje.
• Nasze własne logowania są sprawdzane przez sam serwis: zły bot lub identyfikacja z innej przeglądarki nie może się zalogować.
• Konto widzi tylko projekty, do których zostało przypisane. Na razie nie ma ról: każdy członek zespołu może tworzyć klucze, zmieniać ustawienia, zezwalać na dostęp supportu i usuwać projekt. Uwierzytelnianie dwuskładnikowe nie jest jeszcze dostępne.

Dostęp dla wsparcia

• Nasz zespół wsparcia może odczytywać zdarzenia, użycie i klucze projektu tylko wtedy, gdy projekt na to zezwala, na 12 godzin za każdym razem.
• Członkowie zespołu przyznają dostęp w ustawieniach projektu lub po zaakceptowaniu prośby, mogą go zakończyć w dowolnym momencie i widzą baner, gdy wsparcie go przegląda.
• Każda strona otwarta przez support jest zapisywana w dzienniku audytu organizacji.

Zgodność