Təhlükəsizlik
İnvestorlarınızın məlumatlarını necə qoruyuruq.
Menecerlər investorlarının şəxsiyyət sənədlərini, vergi nömrələrini və bank rekvizitlərini EasyHaus-a etibar edirlər. Bu səhifə bu gün tətbiq olunan tədbirləri sadə dillə təsvir edir.
Görülmüş tədbirlər
Şifrələmə
Məlumatlar ötürülmə zamanı şifrələnir, ən həssas sahələr isə verilənlər bazasında əlavə olaraq şifrələnir.
- Bütün trafik TLS və HSTS ilə ötürülür.
- Vergi identifikatorları, şəxsiyyət sənədi nömrələri, bank hesabı nömrələri, benefisiar sahib identifikatorları, ikinci faktor sirləri və bərpa kodları AES-256-GCM ilə şifrələnir. Açar verilənlər bazasından kənarda saxlanılır və dəyişdirilə bilər.
- Şifrələnmiş sahələr tam şəkildə yalnız sahiblərə və administratorlara göstərilir, digər yerlərdə maskalanır və heç vaxt jurnallara yazılmır.
- Audit jurnalı şifrələnmiş sahələri, e-poçt ünvanlarını və telefon nömrələrini maskalayır.
Təşkilatlar arasında ayrılma
Hər təşkilat təcrid olunmuş icarəçidir.
- Verilənlər bazasına hər sorğu bir təşkilatla məhdudlaşdırılır və avtomatik yoxlama belə olmayan sorğuları rədd edir.
- Təcrid testləri dəsti eyni məlumatlarla iki təşkilat yaradır və heç bir son nöqtənin digərinin qeydlərini qaytarmadığını və ya dəyişmədiyini yoxlayır.
- Başqa təşkilata aid qeyd tapılmadı kimi cavablandırılır, beləliklə, onun mövcudluğu açıqlanmır.
- Portal sessiyası bir təşkilata və bir ünvana aiddir və başqa istənilən yerdə rədd edilir.
Hesablar və giriş
Giriş təxmin etməyə və sessiyaların oğurlanmasına qarşı qorunur.
- Parollar argon2id ilə heşlənir, ən azı 10 simvoldan ibarət olmalıdır və məlum sızmalarla müqayisə edilərək yoxlanılır.
- Autentifikator tətbiqi və bərpa kodları ilə iki mərhələli doğrulama. Sahiblər bunu hər üzv üçün məcburi edə bilər.
- Ardıcıl on səhv kod ikinci faktoru bir saatlıq kilidləyir və istifadəçiyə e-poçt göndərir.
- Sessiya tokenləri yalnız heş şəklində saxlanılan təsadüfi 256 bitlik dəyərlərdir, fəaliyyətsizlik və mütləq bitmə müddətinə malikdir. İstifadəçilər öz sessiyalarını görə və bitirə bilər.
- Parolun sıfırlanması bütün sessiyaları bitirir; parolun dəyişdirilməsi isə qalan bütün sessiyaları bitirir.
- Giriş, sıfırlama və e-poçtla göndərilən keçid sorğularının sayı məhdudlaşdırılır, e-poçtla göndərilən keçidlər isə bir dəfə işləyir.
EasyHaus əməkdaşlarının çıxışı
Əməkdaşlarımız müştəri məlumatlarına baxmır.
- Dəstək xidməti təşkilatınızda yalnız sahibiniz dəstək çıxışını aktivləşdirdikdən sonra fəaliyyət göstərə bilər və hər dəfə səbəb göstərməlidir.
- Dəstək sessiyaları məhdud qeydlər toplusunu dəyişə bilər. Onlar üzv dəvət edə, təhlükəsizlik parametrlərini dəyişə və ya şifrəsi açılmış identifikatorları oxuya bilməz.
- Dəstəyin hər əməliyyatı audit jurnalınızda qeydə alınır və dəstək çıxışının söndürülməsi aktiv dəstək sessiyalarını bitirir.
- Platformanın idarəetmə bölməsi iki mərhələli doğrulama və qısa sessiyalar tələb edir.
Tətbiqin təhlükəsizliyi
Geniş yayılmış veb hücumlar dizayn səviyyəsində nəzərə alınıb.
- Hər sorğu üçün nonce dəyərləri ilə ciddi Content Security Policy tətbiq olunur və səhifələr digər saytlar tərəfindən çərçivəyə salına bilməz.
- Vəziyyəti dəyişən hər sorğu xüsusi başlıq tələb edir, cookie faylları isə HttpOnly, Secure və SameSite atributlarına malikdir.
- Yükləmələr ölçüsünə və faktiki məzmununa görə yoxlanılır, icazə verilmiş növlər siyahısı ilə məhdudlaşdırılır və endirmə kimi təqdim olunur. Şəkillər dekodlaşdırılıb yenidən kodlaşdırılır, bu da metaməlumatları silir.
- Yükləmə keçidləri qısamüddətlidir və bir dəfə istifadə edilə bilər.
- CSV ixracları cədvəl proqramının düstur kimi icra edəcəyi xanaları ekranlaşdırır.
- Sorğular ciddi şəkildə yoxlanılır və xətalar heç vaxt daxili təfərrüatları açıqlamır.
- Asılılıqlar govulncheck və pnpm audit ilə məlum zəifliklərə görə skan edilir.
Qeydlər və hesabatlılıq
Nəyin və nə vaxt baş verdiyini göstərə bilərsiniz.
- Hər dəyişikliyin audit jurnalı: kim, nə, əvvəl və sonra, nə vaxt, hansı ünvandan. Onu silmək mümkün deyil.
- Sənədlərlə tanış olma təsdiqləri istifadəçini, versiyanı, vaxtı və faylın heşini qeydə alır.
- Sənədin hər endirilməsi yoxlanılır və jurnala yazılır.
Məxfilik və məlumat hüquqları
İnvestorlarınızın sorğularına cavab vermək üçün alətlər.
- Bir müştərinin məlumatlarını və ya bütün təşkilatınızın məlumatlarını ZIP kimi ixrac edin.
- Müştərini silin: şəxsi sahələr əvəz olunur və sənədlər silinir, maliyyə qeydlərində isə anonimləşdirilmiş ad saxlanılır.
- Silinmiş təşkilat 30 gün ərzində bərpa edilə bilən vəziyyətdə saxlanılır, sonra onun məlumatları və faylları tamamilə silinir.
- Defolt olaraq yalnız ciddi zəruri cookie faylları. Marketinq saytında və tətbiqdə Google Analytics qanunun tələb etdiyi hallarda yalnız razılığınızla işləyir. Reklam cookie faylları yoxdur.
Yoxlamalar və testlər
Tətbiqin daxili təhlükəsizlik yoxlaması 2026-cı ilin oktyabrında tamamlanıb və onun aşkar etdiyi problemlər aradan qaldırılıb. Müstəqil penetrasiya testi hələ aparılmayıb.
Zəiflik barədə məlumat vermək
Təhlükəsizlik problemi aşkar etdiyinizi düşünürsünüzsə, lütfən, “Təhlükəsizlik hesabatı” mövzusu ilə əlaqə formu vasitəsilə bizə bildirin və biz cavab verənə qədər istismar təfərrüatlarını qeyd etməyin. Test zamanı lütfən, sizə aid olmayan məlumatlara daxil olmayın və xidmətin işini pozmayın.
Uyğunluq komandanızın sualları var?
Bu tədbirləri sizinlə birlikdə nəzərdən keçirməyə hazırıq.
