Безопасность
Решения о безопасности — всегда на сервере
Наш API проверяет каждый запрос: кто вы, что вам принадлежит и что вам разрешено делать. Так мы защищаем ваш аккаунт, вашу лицензию и программы, которые вы скачиваете.
Как мы вас защищаем
Защита на каждом уровне
Авторизация на стороне сервера
API принимает решение о каждом сеансе, лицензии, активации и загрузке. Мы никогда ничего не защищаем, просто скрывая кнопку в браузере.
Надёжное хранение паролей
Пароли хешируются с помощью Argon2id. Мы требуем не менее 15 символов и не принимаем распространённые пароли, а также пароли, содержащие ваш адрес электронной почты.
Защищённые сеансы
Файлы cookie сеанса помечены как HttpOnly, поэтому скрипты страницы не могут их прочитать. Сеансы завершаются после периода бездействия и по истечении максимального срока, и вы можете завершить их сами.
Защита от межсайтовых запросов
Запросы, которые что-либо изменяют, отклоняются, если они отправлены не с этого сайта, — даже при действительном сеансе.
Краткосрочные токены приложения
Настольное приложение использует токены доступа, которые истекают через 15 минут, и токены обновления, которые заменяются при каждом использовании.
Двухфакторный вход для сотрудников
Для входа сотрудникам нужен код аутентификатора, а перед действиями с высоким риском — новый код. Сеансы сотрудников также истекают быстрее.
Закрытые и проверенные загрузки
Установщики выдаются только по подписанным ссылкам, которые действуют 5 минут, с контрольными суммами SHA-256, вычисленными на наших серверах.
Неизменяемый журнал аудита
Важные действия записываются в журнал аудита, который база данных не позволяет никому изменять или удалять. Наши логи очищаются от паролей, ключей и токенов.
Строгие политики браузера
Каждая страница отправляет Content Security Policy с новым nonce, и другие сайты не могут встроить её во фрейм.
Текущие ограничения вкратце
- Хеширование паролей
- Argon2id
- Минимальная длина пароля
- 15 символов
- Сеансы клиентов
- Завершаются после 60 минут бездействия, максимум через 12 часов
- Сеансы сотрудников
- Завершаются после 15 минут бездействия, максимум через 8 часов
- Токен доступа приложения
- 15 минут
- Ссылка для скачивания
- 5 минут
- Код активации
- 10 минут
- Ссылка для подтверждения почты
- 24 часа, одноразовая
- Ссылка для сброса пароля
- 30 минут, одноразовая
- Целостность установщика
- Контрольная сумма SHA-256 для каждой версии
Что мы никогда не попросим
- Ваш пароль
- Ваш Activation Key
- Одноразовые коды активации или коды аутентификатора
- Ссылки для сброса пароля или подтверждения почты