Безопасность: как мы защищаем данные и сканер

Сервис и все данные размещены на серверах в ЕС, сканер работает изолированно от базы данных и секретов приложения, а трекинговых cookie мы не используем. Ниже — конкретно, какие меры защиты есть и почему.

Где хранятся данные

Серверы приложения и базы данных находятся в ЕС.
Мы храним только то, что нужно для работы сервиса: аккаунт, сайты, результаты проверок, отчёты, счета.
Сканер открывает только публичные страницы. Персональные данные посетителей вашего сайта мы не собираем.
По запросу мы передаём экспорт ваших данных и удаляем их.

Изолированный сканер

Сканер — это браузер, который открывает адрес по запросу. Без защиты через него можно попытаться обратиться к внутренним адресам сервера (атака SSRF). Поэтому:

разрешены только протоколы http и https и стандартные порты 80 и 443;
перед открытием страницы и после каждого перенаправления адрес проверяется: частные, локальные и служебные IP-адреса блокируются;
сканер работает под отдельным системным пользователем без доступа к коду приложения, базе данных и секретам;
на уровне операционной системы для процесса сканера закрыты соединения с внутренними адресами;
действуют ограничения: таймаут на страницу, не больше 5 перенаправлений, лимит размера страницы, без скачивания файлов;
эти сценарии, включая подмену DNS и перенаправление на внутренний адрес, покрыты автоматическими тестами.

Защита от злоупотреблений

бесплатная проверка защищена от ботов;
действует лимит проверок с одного IP-адреса и email;
общая очередь ограничивает число одновременно работающих браузеров;
результат для одного адреса кэшируется на 24 часа;
запуск проверок записывается в журнал.

Доступ и шифрование

все соединения с сайтом и кабинетом идут по HTTPS;
пароли хранятся только в виде хешей;
для входа доступна двухфакторная аутентификация, для администраторов сервиса она обязательна;
данные разных клиентов изолированы друг от друга, и это проверяется автоматическими тестами;
действия администраторов записываются в журнал.

Резервные копии

База данных копируется ежедневно. Мы регулярно проверяем, что из копии можно восстановить работу.

Мы не используем рекламные и трекинговые cookie. Для статистики посещений применяется аналитика без таких cookie.

Сообщить о проблеме

Если вы нашли уязвимость, напишите нам через форму обратной связи. Как работает сама проверка — на странице «Как это работает». Проверка, которую выполняет сервис, — это автоматическая проверка, а не полный аудит, и не юридическая консультация.