Як ми захищаємо ваші дані
Перелік заходів, які вже працюють, і контакт для повідомлень про вразливості.
Ізоляція даних кабінетів
Доступ до даних обмежено на рівні бази даних (Row Level Security): користувач бачить і змінює лише дані свого кабінету. Автоматичні тести з двома різними кабінетами перевіряють це при кожній зміні структури бази.
Чутливі дії — лише через сервер
Оплати й баланс, закриття і архів кабінету, результати перевірки клієнтів за санкційними переліками змінюються лише сервером за встановленими правилами — не напряму з браузера.
Незмінний журнал дій
Дії в кабінеті записуються в журнал. Користувачі можуть його переглядати, але не можуть змінити чи видалити записи.
Захищене з'єднання
Сайт і кабінет працюють лише через HTTPS (HSTS). Браузер отримує заголовки безпеки, що обмежують вбудовування сторінок і доступ до камери та геолокації.
Паролі і двофакторний вхід
Паролі зберігає сервіс автентифікації у вигляді хешів — ми їх не бачимо. Власники кабінетів можуть увімкнути двофакторний вхід (код із застосунку-автентифікатора) у Налаштуваннях. Адміністраторам платформи, які його налаштували, бек-офіс без коду не відкривається.
Захист публічних форм
Форми замовлення, звернення і сигналів мають ліміти кількості запитів, щоб їх не можна було використати для масових розсилок чи перебору.
Перевірки лише ваших клієнтів
Перевірка за переліками виконується тільки щодо клієнтів вашого кабінету; результати не передаються іншим користувачам.
Знайшли вразливість?
Напишіть на security@spfm-assistant.com: що саме, де і як відтворити. Будь ласка, не звертайтеся до чужих даних і не порушуйте роботу сервісу під час перевірки — ми відповімо і повідомимо, коли проблему буде виправлено. Технічні контакти також опубліковано у security.txt.
Жодна система не може гарантувати абсолютного захисту, тому ми регулярно перевіряємо і вдосконалюємо ці заходи.