Bezpieczeństwo

Architektura

UptimeGlobe działa na w pełni zarządzanej platformie serverless obsługiwanej przez czołowego dostawcę infrastruktury. Nie mamy żadnych długo działających własnych serwerów, dostępu SSH do rotowania ani systemów operacyjnych do łatania — duża klasa podatności po prostu nas nie dotyczy. Cały ruch, zarówno ten od użytkowników, jak i wewnętrzny, odbywa się przez TLS.

Twoje konto

• Hasła są haszowane algorytmem PBKDF2-SHA256 (100 000 iteracji, sól dla każdego użytkownika). Nigdy nie przechowujemy ani nie zapisujemy w logach hasła w postaci jawnej, a odpowiedzi przy logowaniu są skonstruowane tak, by nie dało się sprawdzić istnienia konta na podstawie czasu odpowiedzi.
• Uwierzytelnianie dwuskładnikowe (TOTP) jest dostępne dla każdego konta, także w darmowym planie.
• Sesje korzystają z krótkotrwałego, 15-minutowego tokenu oraz jednorazowego, rotowanego tokenu odświeżania. Ponowne użycie już zrotowanego tokenu odświeżania — znak skradzionej sesji — unieważnia wszystkie sesje na koncie. Tak samo działa zmiana i reset hasła.
• Ochrona przed botami: rejestracja i logowanie są sprawdzane pod kątem automatycznych nadużyć bez CAPTCHA do rozwiązania.

Twoje dane uwierzytelniające i dane

• Dane uwierzytelniające powiadomień — tokeny Slack, adresy URL webhooków, klucze dostawców SMS — są przechowywane zaszyfrowane algorytmem AES-256-GCM kluczem trzymanym poza bazą danych. API zwraca je w postaci zamaskowanej, a komunikaty o błędach są oczyszczane, żeby niedziałająca integracja nie mogła ujawnić własnego sekretu.
• Izolacja klientów jest egzekwowana w samej warstwie dostępu do danych: każde zapytanie o dane należące do klienta jest automatycznie ograniczane do Twojej organizacji, a nasze lintery odrzucają kod, który omija tę bramę. Nie zależy to od tego, czy każdy endpoint o tym pamięta.
• Klucze API mają zakresy dla każdego zasobu i każdej akcji (odczyt/zapis), są pokazywane raz przy utworzeniu, przechowywane jako skrót i można je w każdej chwili unieważnić.
• Dane płatnicze: dane kart nigdy nie trafiają do naszych systemów. Gdy działają płatne plany, obsługą płatności i przechowywaniem kart zajmuje się wyspecjalizowany dostawca płatności.

Prawa do danych

Możesz wyeksportować swoje dane i usunąć konto — usunięcie to rzeczywiste, trwałe skasowanie danych Twojej organizacji, a nie tylko oznaczenie. Szczegóły w polityce prywatności.

Status zgodności

UptimeGlobe nie ma jeszcze certyfikacji SOC 2 ani ISO 27001 — jesteśmy produktem na wczesnym etapie, prowadzonym przez założyciela, i nie będziemy udawać, że jest inaczej. Ta strona opisuje rzeczywiste zabezpieczenia stosowane dziś; aktualizujemy ją w miarę ich rozwoju.

Zgłaszanie podatności

Znalazłeś coś? Skorzystaj z formularza kontaktowego: wybierz temat Coś innego i zacznij wiadomość od „SECURITY”. Opisz kroki pozwalające odtworzyć problem i jego możliwy wpływ. Potwierdzimy zgłoszenie w ciągu 2 dni roboczych, będziemy Cię informować w trakcie naprawy i, jeśli chcesz, wymienimy Cię z nazwiska. Podczas testów nie uzyskuj dostępu do danych innych użytkowników — dowód koncepcji na własnym koncie zawsze wystarczy.