Безопасность

Наш подход

Мы работаем по принципу минимальных привилегий: каждый человек и сервис получает только тот доступ, который нужен для конкретной задачи.

Безопасность встроена в проект с самого начала — от хранения секретов до проверки кода перед выкладкой.

Защита данных

Мы применяем разумные технические и организационные меры:

• Шифрование данных при передаче (HTTPS/TLS)
• Шифрование секретов и резервных копий
• Контроль доступа и индивидуальные учётные записи
• Регулярные обновления зависимостей и серверов
• Мониторинг, журналирование и резервное копирование
• Изоляция сред разработки, тестирования и продакшена

Доступ

Доступ к продакшену, базам данных и репозиториям есть только у сотрудников и подрядчиков, которым он нужен для работы.

Мы используем менеджер секретов, не храним пароли в переписке и отзываем доступ сразу после завершения проекта или ухода человека из команды.

Инфраструктура

Проекты размещаются на выделенных серверах или у облачных провайдеров. Мы выбираем провайдеров по надёжности и репутации, но не контролируем их инфраструктуру полностью.

Резервные копии делаются регулярно; срок хранения и частота зависят от проекта и согласуются отдельно.

Интеграции и боты

Для интеграций мы запрашиваем минимальные права и используем отдельные токены. Токены и сессии ботов хранятся в защищённом виде.

Подключение WhatsApp по QR-коду не требует пароля от аккаунта. Если сессия скомпрометирована, её можно отозвать в настройках мессенджера; мы поможем переподключить бота.

Платежи

Оплату по счёту обрабатывает банк, криптовалютой — блокчейн-сеть. Мы не получаем и не храним данные банковских карт.

Криптовалютные платежи проходят напрямую в сети; мы видим адрес кошелька, сумму и статус транзакции.

ИИ-обработка

Некоторые задачи выполняются с помощью ИИ-моделей. В них передаётся только необходимый объём данных; мы не используем данные клиентов для обучения публичных моделей.

Для чувствительных проектов можно согласовать локальные модели или запрет на передачу данных внешним провайдерам.

Инциденты

Мы регистрируем, расследуем и устраняем инциденты безопасности. Если инцидент затрагивает данные клиента и закон требует уведомления, мы сообщаем о нём и о принятых мерах.

Ответственность клиента

Безопасность — общая задача. Мы рекомендуем:

• Использовать надёжные уникальные пароли и менеджер паролей
• Включить двухфакторную аутентификацию на почте и в панелях
• Не передавать доступы в открытых чатах
• Отзывать доступ у бывших сотрудников и подрядчиков
• Своевременно сообщать о подозрительной активности

Сообщить об уязвимости

Если вы нашли уязвимость, напишите через страницу контактов или на [email protected].

Пожалуйста, не проверяйте уязвимость на данных других людей, не изменяйте и не удаляйте чужие данные и дайте нам время на исправление. Мы не будем преследовать исследователей, которые действуют добросовестно.

Обновления

Мы пересматриваем меры безопасности по мере роста проектов и изменения угроз. Эта страница обновляется вместе с практикой.