Varnost in zasebnost

Gostovanje in lokacija podatkov

• Vsak dogodek, visitor in račun je shranjen v AWS eu-west-1 na Irskem, prav tako pa tudi varnostne kopije.
• Storitev deluje na upravljanih storitvah AWS (Lambda, DynamoDB, S3, CloudFront in SES za e-pošto) ter na ClickHouse Cloud, ki hrani iskalno kopijo dogodkov in revizijskih dnevnikov na AWS na Irskem. Nimamo lastnih strežnikov, ki bi jih bilo treba popravljati.
• Zahteve sprejme CloudFront edge lokacija, najbližja obiskovalcu, ki je lahko zunaj EU, in naprej šifrirane potujejo na Irsko.
• Podatki o IP naslovu prihajajo od ipapi.is v Nemčiji, ki prejme le IP naslov.

Šifriranje

• Ves promet do agenta, API-ja in nadzorne plošče uporablja TLS.
• Podatkovne baze so v mirovanju šifrirane s strani AWS in ClickHouse Cloud.
• Zapečateni rezultati šifrirajo dogodek s ključem vašega projekta (AES-256-GCM), zato brskalnik ne more niti brati niti spreminjati. Ta ključ ustvarimo in hranimo, ker ga identify uporablja za zapečatenje, prikažemo pa ga le enkrat: zapečateni rezultat lahko odprejo le imetniki ključa projekta.

Ključi in skrivnosti

• Skrivni ključi so shranjeni kot zgoščena vrednost SHA-256 in so v celoti prikazani le enkrat, ob ustvarjanju.
• Ključi vsebujejo predpono in kontrolno vsoto, zato jih lahko skenerji puščanj najdejo, napačen vnos pa je zavrnjen brez iskanja.
• Webhooki so podpisani s časovnim žigom, tako da lahko vaš strežnik zavrne ponarejene in ponovljene klice. Webhook skrivnost hranimo v celoti, ker z njo podpisujemo.

Manj podatkov po zasnovi

• Agent nikoli ne bere omrežnih naslovov WebRTC, query nizi in fragmenti pa nikoli ne zapustijo brskalnika.
• Zastavice in ocene se nikoli ne vrnejo v brskalnik. Način zero trust skrije tudi visitor ID pred brskalnikom, agent pa takrat ne shrani ničesar.
• URL-ji strani in sklici se hranijo kot izvor in pot, samo kot izvor ali sploh ne.

Hramba in brisanje

• Vsak projekt hrani dogodke 30 dni, 1, 3 ali 5 let ali dokler jih ne izbrišete, kar je privzeto; potekli dogodki se samodejno odstranijo, običajno v enem ali dveh dneh.
• Jedan API poziv briše sve pohranjeno za jedan external ID, drugi sve za jedan uređaj, uključujući njegove veze s preglednicima i IP adresama.
• Brisanje ne zajame 90-dnevnega predpomnilnika iskanja IP, dostav webhookov (hranjenih 30 dni), zapisov neuspelih opravil in napak (hranjenih, dokler jih ne odstranimo) ali varnostnih kopij (35 dni).

Dostop do nadzorne plošče

• Gesla so shranjena s scrypt, vsaka sprememba računa pa konča njegove seje.
• Naše lastne prijave preverja sama storitev: slab bot ali identifikacija iz drugega brskalnika se ne more prijaviti.
• Račun vidi samo projekte, ki so mu bili dodeljeni. Vlog še ni: vsak član ekipe lahko ustvarja ključe, spreminja nastavitve, dovoli dostop podpori in izbriše projekt. Dvofaktorska avtentikacija še ni na voljo.

Dostop za podporo

• Naša podpora lahko bere dogodke, uporabo in ključe projekta samo, dokler projekt to dovoljuje, za 12 ur naenkrat.
• Člani ekipe to dovolijo v nastavitvah projekta ali s sprejemom zahteve, lahko to kadarkoli prekinejo in vidijo pasico, medtem ko jo podpora pregleduje.
• Vsaka stran, ki jo support odpre, se zabeleži v revizijski dnevnik organizacije.

Skladnost