Izolacja każdego klienta
Platforma działa w modelu multi-tenant ze ścisłą separacją logiczną: każdy odczyt i każdy zapis jest ograniczony do identyfikatora Twojego konta, zarówno w warstwie danych, jak i w warstwie aplikacji. Twoje informacje nie są widoczne ani osiągalne z konta żadnego innego klienta i nie istnieją globalne zapytania dostępne dla użytkowników.
- Ciągła weryfikacja, a nie obietnica. Zautomatyzowany mechanizm kontrolny regularnie sprawdza środowisko produkcyjne pod kątem każdej konfiguracji, która mogłaby mieszać informacje między kontami, i raportuje wyniki do wskaźników stanu platformy. Separacji nie zakładamy: mierzymy ją.
- Publiczne punkty dostępu (formularze, widżety, webhooki) są ograniczone do minimum i uwierzytelniane tokenem lub identyfikatorem o ograniczonym zakresie; wszystko inne wymaga uwierzytelnionej sesji.
- Zmiany są przygotowywane i testowane w oddzielnym środowisku roboczym przed publikacją na produkcji.
Tożsamość i kontrola dostępu
- Hasła niemożliwe do odzyskania. Są przechowywane wyłącznie jako jednokierunkowy skrót kryptograficzny z solą (bcrypt). Nikt, nawet zespół OMB, nie może ich odczytać ani odtworzyć.
- Role z minimalnymi uprawnieniami. Właściciel, administrator i użytkownik, z uprawnieniami dla poszczególnych modułów: każda osoba widzi tylko to, czego wymaga jej funkcja.
- Wzmocnione sesje. Pliki cookie z atrybutami Secure, HttpOnly i SameSite; mechanizm zapamiętywania sesji używa dzielonych tokenów, które zmieniają się przy każdym użyciu i są porównywane w stałym czasie, dzięki czemu kradzież starego pliku cookie nie otwiera dostępu do konta.
- Uwierzytelnianie dwuskładnikowe dostępne dla kont, które go wymagają, oraz klucze dostępu (passkeys) wdrażane jako preferowana metoda, ponieważ z założenia są odporne na phishing.
- Dodatkowa weryfikacja dla modułów. Moduły oznaczone przez Ciebie jako wrażliwe mogą wymagać dodatkowej weryfikacji przy wejściu, nawet jeśli sesja jest już aktywna, zgodnie z praktyką bankowości internetowej.
Szyfrowanie
| Warstwa | Technologia | Szczegóły |
|---|---|---|
| W tranzycie | TLS | Cała komunikacja jest szyfrowana: portal, API, widżety i integracje. |
| Sekrety i dane uwierzytelniające | AES-256-GCM | Hasła do poczty, klucze integracji i dane uwierzytelniające powierzone przez klientów są przechowywane w postaci zaszyfrowanej z uwierzytelnianiem integralności. Klucz główny znajduje się poza repozytorium kodu i poza zasięgiem serwera WWW, z restrykcyjnymi uprawnieniami i rotacją bez utraty danych. |
| Sejfy klientów | AES-256-GCM | Dane uwierzytelniające do portali zewnętrznych, które klient powierza platformie, istnieją wyłącznie w postaci zaszyfrowanej, bez odczytu przez człowieka w normalnym działaniu, z trwałym usunięciem na żądanie. |
| Hasła użytkowników | bcrypt | Jednokierunkowy skrót z solą. Odszyfrowanie nie jest możliwe. |
| Podpisane dokumenty | SHA-256 + RFC 3161 | Każda podpisana umowa jest powiązana ze swoim odciskiem kryptograficznym i opatrzona kryptograficznym znacznikiem czasu. |
Perymetr, kopie zapasowe i ciągłość działania
- Zapora sieciowa na poziomie infrastruktury oraz blokada wszystkich wrażliwych plików (konfiguracja, logi, kopie zapasowe, kontrola wersji) na poziomie serwera WWW: nie są dostępne z internetu.
- Magazyn sesji poza publicznym katalogiem, z restrykcyjnymi uprawnieniami.
- Codzienne, weryfikowane i szyfrowane kopie zapasowe. Każda kopia zapasowa bazy danych jest weryfikowana przed zapisaniem (kopia, która nie przejdzie weryfikacji, nie jest zachowywana jako prawidłowa) i szyfrowana algorytmem AES-256 dedykowanym kluczem, innym niż klucz operacyjny i przechowywanym poza repozytorium oraz poza katalogiem kopii zapasowych.
- Kopie zapasowe nie naruszają Twojej prywatności. Służą wyłącznie do przywracania, nigdy do przeglądania danych. Informacje w zaszyfrowanym Sejfie trafiają do kopii zapasowej już zaszyfrowane Twoim kluczem: nawet w kopii są nieczytelne. Rotacja trwa maksymalnie 14 dni, więc usunięte dane znikają w tym terminie również z kopii zapasowych.
- Ciągłe monitorowanie wskaźników stanu platformy z wykrywaniem anomalii.
Identyfikowalność i dokumenty dowodowe
- Rejestrowanie istotnych operacji (utworzenia, zmiany, wysyłki, podpisy) z datą, godziną, adresem IP i użytkownikiem.
- Gdy upoważniony personel działa w trybie nadzoru, platforma rejestruje rzeczywistą tożsamość osoby działającej, a nie tylko konto, na którym wykonywane są działania.
- Dokumenty dowodowe (umowy i potwierdzenia) są generowane po stronie serwera, powiązane ze swoim odciskiem SHA-256 i zachowują pełny łańcuch zdarzeń. Można wykazać, że podpisany plik jest dokładnie tym dokumentem, który został wyświetlony.