Безопасность

Что сделано для защиты ваших данных

Без нарисованных сертификатов и обещаний бесконечной доступности. Ниже конкретные меры, которые реализованы в коде и инфраструктуре, и как сообщить нам об уязвимости.

Где и как хранятся данные

Серверы в России (дата-центр в Москве): требование локализации 152-ФЗ выполняется
Каждый сервис живёт в отдельном пространстве; запросы к базе выполняются строго в рамках кабинета
Резервные копии ежедневно: 14 дневных + 6 ежемесячных, восстановление регулярно проверяется
Файлы (фото, документы) лежат в хранилище с квотой по тарифу, доступ только через авторизованные запросы

Вход и сессии

Пароли хранятся только в виде bcrypt-хешей; сессии на httpOnly-cookie с CSRF-защитой
Двухфакторная аутентификация (TOTP) для любого сотрудника
Лимит одновременных устройств, привязка сессии к IP, таймаут неактивности, принудительное завершение сессий
Журнал входов и действий администраторов

Права и чувствительные данные

Роли с матрицей прав и личные ограничения сотрудника (свои заказы, свои склады, лимиты)
Коды доступа к устройствам клиентов маскируются; раскрытие только явным действием
DLP на выгрузках: телефоны и почта клиентов и сотрудников маскируются без специального права
Секреты интеграций (токены ботов, ключи касс и платежей) хранятся в зашифрованном виде

Периметр

Только HTTPS (Let's Encrypt), HSTS, Content-Security-Policy, набор заголовков helmet
Лимиты частоты запросов на входе, регистрации, восстановлении пароля и публичных формах
Регулярный аудит зависимостей серверной и клиентской части, закрытые известные уязвимости
Контейнерная изоляция сервисов: наружу открыт только обратный прокси

Персональные данные и роли

Данные клиентов вашего сервиса обрабатываются по вашему поручению: вы оператор, SVCore обработчик. Мы не используем их в своих целях, не передаём третьим лицам, кроме подпроцессоров, нужных для работы сервиса (хостинг, почта, выбранные вами интеграции), и удаляем по вашему требованию. Формально это закреплено в Поручении на обработку персональных данных, а то, как мы обрабатываем данные самих пользователей кабинета, описано в Политике конфиденциальности.

Ответственное раскрытие уязвимостей

Нашли уязвимость? Напишите нам до публикации. Мы подтверждаем получение в течение 3 рабочих дней, сообщаем о сроках исправления и называем вас в благодарностях, если вы не против.

Опишите шаги воспроизведения, затронутый адрес и возможное влияние
Не читайте и не меняйте чужие данные дальше, чем нужно для демонстрации
Не используйте DoS, спам, социальную инженерию сотрудников

Куда писать

На security@service-core.ru с темой Security.

Публичная вознаградительная программа (bug bounty) пока не запущена.

Что мы не заявляем

У нас нет сертификации ISO 27001, аттестации по требованиям ФСТЭК и гарантии доступности 99,9 процента в договоре. Фактическое состояние сервиса и плановые работы мы описываем в Условиях уровня обслуживания, без приукрашивания.