MMiniCRM
MagyarEnglish
Kipróbálom

Biztonság

Konkrétumok, nem megnyugtatás. Az utolsó szakasz arról szól, amit nem állítunk.

Jelszavak és munkamenetek

  • A jelszavak scrypt-tel, egyedi sóval hashelve tárolódnak — visszafejteni nem lehet őket.
  • A munkamenet-tokennek csak a SHA-256 lenyomata kerül az adatbázisba, így egy adatbázis-kiszivárgásból nem lehet belépni.
  • Jelszóváltáskor és -helyreállításkor minden más munkamenet megszűnik.
  • A meghívó- és helyreállító linkek egyszer használatosak és lejárnak.

Külső fiókok jelszavai

  • A postafiók- és számlázó-jelszavakat AES-256-GCM titkosítja. Ezeket vissza kell tudnunk fejteni, mert a levelezőszervernek át kell adni — ezért nem hashelhetők, mint a felhasználói jelszó.
  • A kulcs a szerver titkából származik, és nincs az adatbázisban.

Adatelválasztás

  • Minden tábla szervezethez kötött, és minden lekérdezés szűr rá.
  • Ezt gépi ellenőrzés tartja be: a teszt elhasal, ha valaki olyan lekérdezést ír, ami kihagyja.
  • Ugyanez vonatkozik a fájlokra és az API-ra is — idegen szervezet rekordja nem 403, hanem 404.

Feltöltött fájlok

  • A tárolási kulcsot mi generáljuk, sosem a fájlnévből — így a „../../etc/passwd” csak egy címke.
  • A letöltés mindig csatolmányként megy, és a böngészőben futtatható típusok (HTML, SVG) sosem kapnak engedékeny tartalomtípust.

GDPR

  • Egy kattintással kiadható minden, amit egy személyről tárolunk — hozzáférési kérelemhez.
  • A törlés valóban töröl, nem archivál. A már kiállított számlák a számviteli megőrzés miatt maradnak, de a személyre mutató hivatkozás nélkül.
  • Mindkét művelet naplózva van.

Amit nem állítunk

  • Nincs ISO 27001 vagy SOC 2 tanúsítványunk. Ha a beszerzésedhez ez kell, most nem vagyunk jó választás.
  • Nincs 24/7 ügyeletünk és nincs szerződéses rendelkezésre állási garancia.
  • Nem végeztünk külső behatolásvizsgálatot.
  • Ha ezek közül bármelyik akadály, mondd el — jobb most tisztázni.

Biztonsági hibát találtál? Írj, és 72 órán belül válaszolunk.