Bezpieczeństwo danych

Dane klientów przechowujemy na serwerach w Unii Europejskiej, skaner działa w odizolowanym środowisku bez dostępu do bazy danych, a na naszej stronie nie używamy śledzących plików cookie. Poniżej opisujemy najważniejsze zabezpieczenia.

Hosting i dane

Serwery i kopie zapasowe znajdują się w UE.
Skanujemy publiczne strony, więc w wynikach skanów zwykle nie ma danych osobowych. Nie logujemy danych osobowych bez potrzeby.
Z klientami biznesowymi zawieramy umowę powierzenia przetwarzania danych (DPA). Listę podmiotów przetwarzających publikujemy w polityce prywatności.
Na wniosek eksportujemy lub usuwamy dane konta.

Odizolowany skaner

Skaner to przeglądarka, która otwiera adresy wskazane przez użytkowników. Dlatego:

działa w osobnym środowisku, bez dostępu do bazy danych i kluczy, z zablokowanym ruchem do sieci wewnętrznej;
akceptuje tylko adresy http i https na standardowych portach 80 i 443;
przed otwarciem strony i po każdym przekierowaniu sprawdza, dokąd prowadzi adres, i odrzuca adresy prywatne, lokalne i usługowe (ochrona przed SSRF, także przed tzw. DNS rebinding);
stosuje limity czasu, liczby przekierowań i rozmiaru strony oraz nie pobiera plików;
publiczną kontrolę chroni zabezpieczenie przed botami, limit zapytań z jednego adresu i kolejka z ograniczoną liczbą równoległych przeglądarek.

Konta i dostęp

Wszystkie połączenia są szyfrowane (HTTPS/TLS).
Hasła przechowujemy wyłącznie w postaci skrótów.
Dostępne jest uwierzytelnianie dwuskładnikowe; dla zespołu administracyjnego jest obowiązkowe.
Dane każdego klienta są oddzielone od danych innych klientów, co sprawdzają testy automatyczne.
Działania administracyjne są zapisywane w dzienniku.

Kopie zapasowe

Kopie zapasowe bazy danych wykonujemy codziennie i regularnie sprawdzamy, czy da się z nich odtworzyć dane.

Używamy wyłącznie plików cookie niezbędnych do działania serwisu (np. sesji logowania). Statystyki odwiedzin zbieramy narzędziem, które nie wymaga cookies śledzących.

Czego nie robimy

Skaner tylko odczytuje publiczne strony – niczego na nich nie zmienia, nie loguje się do paneli sklepu i nie wypełnia formularzy. Wyniki to automatyczna kontrola, a nie pełny audyt, i nie stanowią porady prawnej.

Zgłaszanie podatności

Jeśli znajdą Państwo lukę w zabezpieczeniach, prosimy o informację przez stronę kontakt z dopiskiem „bezpieczeństwo”. Prosimy nie testować podatności na danych innych klientów. Więcej o nas: o nas, o metodzie: jak to działa.