Безопасность
Rastro обрабатывает клики, конверсии и выплаты целых сетей. Безопасность этих данных — приоритет с первой строки кода.
Данные изолированы по сетям
- Данные каждой сети отделены от остальных самой базой данных (row-level security), а не только кодом приложения.
- Внутри сети каждый видит только то, что его касается: партнёр никогда не видит данные другого партнёра и выручку сети.
Аккаунты и доступ
- Двухфакторная аутентификация обязательна для администраторов; коды восстановления хранятся только в виде хешей.
- Пароли хранятся с bcrypt; попытки входа ограничены по аккаунту и по адресу.
- Профили прав для команды и журнал аудита важных действий.
Чувствительные данные
- Платёжные данные партнёров (IBAN, PayPal) зашифрованы; просмотр полных данных — осознанное действие, которое записывается.
- IP-адреса хранятся только в виде хешей; токены приглашений и сброса пароля — тоже.
- Токены постбэков и API-ключи можно отозвать и создать заново в любой момент.
Приложение и серверы
- Соединения всегда по HTTPS с HSTS; Content-Security-Policy с nonce на каждой странице.
- Лимиты запросов на публичных маршрутах и блокировка тех, кто пытается подобрать токены.
- Постбэки партнёров не могут обращаться во внутренние сети; загружаемые файлы проверяются по содержимому.
- Зависимости автоматически проверяются на известные уязвимости; ежедневное резервное копирование базы данных.
GDPR
- Сроки хранения данных о кликах; после них остаются только агрегированные итоги.
- Каждый может скачать свои данные или запросить их удаление из своего аккаунта.
Нашли уязвимость?
Пожалуйста, сообщите нам до её раскрытия. Контакт указан в security.txt.