Безопасность и конфиденциальность

Хостинг и местонахождение данных

• Все события, посетители и аккаунты хранятся в AWS eu-west-1 в Ирландии, как и резервные копии.
• Сервис работает на управляемых сервисах AWS (Lambda, DynamoDB, S3, CloudFront и SES для почты) и на ClickHouse Cloud, который хранит доступную для поиска копию событий и журналов аудита в AWS в Ирландии. Собственных серверов, требующих обновлений, нет.
• Запросы поступают в ближайший к посетителю периферийный узел CloudFront, который может находиться за пределами ЕС, и далее зашифрованными передаются в Ирландию.
• Данные об IP поступают от ipapi.is, расположенного в Германии, который получает только IP-адрес.

Шифрование

• Весь трафик к агенту, API и панели управления использует TLS.
• Базы данных шифруются при хранении с помощью AWS и ClickHouse Cloud.
• Запечатанные результаты шифруют событие ключом вашего проекта (AES-256-GCM), поэтому браузер не может его прочитать или изменить. Мы генерируем этот ключ и храним его, так как identify использует его для запечатывания, и показываем вам один раз: открыть запечатанный результат может только владелец ключа проекта.

Ключи и секреты

• Secret key хранятся в виде хеша SHA-256 и показываются полностью только один раз, при создании.
• Ключи имеют префикс и контрольную сумму, поэтому сканеры утечек могут их найти, а опечатка отклоняется без запроса.
• Webhook подписываются меткой времени, поэтому ваш сервер может отклонять поддельные и повторно отправленные вызовы. Мы храним webhook secret полностью, так как подписываем с его помощью.

Меньше данных по замыслу

• Агент никогда не читает сетевые адреса WebRTC, а строки запроса и фрагменты никогда не покидают браузер.
• Флаги и оценки никогда не возвращаются в браузер. Режим zero trust скрывает от него и visitor ID, и тогда агент ничего не сохраняет.
• URL страниц и реферреры сохраняются как origin и путь, только origin или не сохраняются вовсе.

Хранение и удаление

• Каждый проект хранит события 30 дней, 1, 3 или 5 лет либо до удаления, что является значением по умолчанию; истёкшие события удаляются автоматически, обычно в течение одного-двух дней.
• Один вызов API удаляет все данные по одному external ID, другой — все данные по одному устройству, включая его связи с браузерами и IP-адресами.
• Удаление не затрагивает кэш поиска IP за 90 дней, доставки webhook (хранятся 30 дней), журналы неудачных задач и ошибок (хранятся до их удаления) и резервные копии (35 дней).

Доступ к панели управления

• Пароли хранятся с помощью scrypt, а любое изменение учетной записи завершает её сеансы.
• Вход в наши собственные аккаунты проверяется самим сервисом: вредоносный бот или идентификация из другого браузера не могут войти.
• Аккаунт видит только те проекты, к которым ему предоставлен доступ. Ролей пока нет: любой участник команды может создавать ключи, менять настройки, разрешать доступ поддержки и удалять проект. Двухфакторная аутентификация пока не предусмотрена.

Доступ поддержки

• Наша служба поддержки может читать события, использование и ключи проекта только пока проект это разрешает, по 12 часов за раз.
• Участники команды предоставляют доступ в настройках проекта или принимая запрос, могут завершить его в любое время и видят баннер, пока поддержка работает.
• Каждая страница, которую открывает поддержка, фиксируется в журнале аудита организации.

Соответствие требованиям