Turvalisus Wavoris

Teie äriandmed väärivad sama kaitset nagu pank. Me ei räägi teile lihtsalt, MIDA me kaitseme. Me näitame teile, KUIDAS.

AES-256TLS 1.32FADSGVO/GDPRUK GDPRLGPD (BR)DPDP (IN)EL-i serverid

Tuuma turvalisus

AES-256 krüpteerimine

Tundlikud väljad on salvestatud krüpteeritult. Ilma võtmeta lugedes ei näita nad midagi.

EL andmekeskused (Hetzner DE)

Servers and customer files in Germany. Offsite backups sit encrypted outside the EU under the EU's transfer safeguards; the privacy policy names the provider.

Töötamine ja infrastruktuur

99.9%

Töökorras oleku siht

Varundusintervall

90d

Longest retention

Nerd zone

It gets technical from here. You do not need to read any of it to use Wavor safely - it is here so it can be checked.

Turvalisuse arhitektuur

Kuidas teie andmed voolavad. Taotlusest salvestamiseni

SAMM 1

Cloudflare Edge

DDoS kaitse, WAF, TLS 1.3 koos 1.2 varuga. Globaalne anycast võrk.

SAMM 2

Cloudflare Tunnel

Päritolu füüsiliselt kättesaamatu. Ainult väljaminev ühendus CF-iga, ei sisene porti. AOP kohandatud usaldus Wavor RSA-4096 sertifikaadiga.

SAMM 3

Node.js rakendus

Sessiooni valideerimine, 2FA kontroll, RBAC, sisendi valideerimine Zod skeemide kaudu.

SAMM 4

PostgreSQL + Vault

Encrypted storage with AES-256. Secrets in HashiCorp Vault.

TLS 1.3 (1.2 varu)

Täielik range HTTPS kõigil 7 domeenil.

DDoS kaitse

Edge kaitse enne, kui server näeb taotlust.

Kus andmeid hoitakse?

The servers are at Hetzner in Germany (Falkenstein and Nuremberg), customer files in object storage in Germany. The data centres are guarded around the clock, with biometric access. Backups and some services such as email, SMS and AI run through providers outside the EU. Those transfers are secured under the EU's rules, and the privacy policy names every provider.

Kuidas võtmed on kaitstud?

Kõik API võtmed ja saladused HashiCorp Vaultis (KV v2, krüpteeritud, juurdepääsuga kontrollitud). Automaatne rotatsiooni hoiatus 90/180/365 päeva. Koodis, keskkonnas või logides ei ole selgeid saladusi.

Kuidas varundamine töötab?

Automated PostgreSQL backups every 6 hours. Kept: every one for two days, one a day up to 14 days, one a week up to 90 days. Each is decrypted again and checked after encryption, and every night the newest is restored as a test. Offsite copy at Backblaze, encrypted with our own key before it leaves the server.

Kaitsekihtide

HTTP turvalisuse päised: 14 tugevdatud direktiivi

CSP Level 3 (21 Direktiven)

Sunniviisiline režiim. Maksimaalne W3C standard, sealhulgas script-src-elem/-attr granulaarsus, Trusted-Types administraatori alamdomeenil, manifest/worker/media-src valge nimekiri.

HSTS (Strict-Transport-Security)

max-age 1 aasta, includeSubDomains, eelnevalt laadimine lubatud.

X-Frame-Options

KEELATA. Ei mingit klikkimise petmist iframe'ide kaudu.

X-Content-Type-Options

nosniff. Brauserid ei saa MIME tüüpe valesti tõlgendada.

Referrer-Policy

strict-origin-when-cross-origin.

Permissions-Policy

Kaamera, mikrofon, geolokatsioon. Kõik on vaikimisi keelatud.

COOP (Cross-Origin-Opener-Policy)

same-origin. Isolatsioonib brauseri konteksti.

CORP (Cross-Origin-Resource-Policy)

same-site. Ressursse ei saa ristallika kaudu manustada.

Independently verifiable: Mozilla's HTTP Observatory grades the headers of wavor.io A+. A test asks Mozilla for the result again every night. https://developer.mozilla.org/en-US/observatory/analyze?host=wavor.io(developer.mozilla.org)

Konto turvalisus

2FA: TOTP / SMS / E-post

Kolm meetodit teise teguri jaoks. Varukoode kasutatakse ühekordselt.

Seadmestiku tuvastamine

Instantne teavitus uutest seadmetest e-posti teel koos IP + User-Agent.

Seansi haldamine

Vaata aktiivseid seansse, lõpetage individuaalselt või logige kõik korraga välja.

Brute-Force kaitse (3 kihti)

5 ebaõnnestumist e-posti kohta / 15-minutiline lukustus. 10 IP kohta / 1h. 5 erinevat e-posti ühe IP kohta / 24h keeld.

Cloudflare Turnstile Captcha

Boti kaitse ilma klikk-pusle. Skript laaditakse crossOrigin anonüümselt + no-referrer. Ei mingit sessiooni leket Cloudflare'i.

Bcrypt parooli hashimine (maksumus 12)

Iga oletus maksab arvutusaja, mis muudab nimekirja rünnakud liiga kalliks. Paroolid >= 12 tähemärki, zxcvbn tugevuse kontroll.

Zod sisendi valideerimine

Kõik API sisendid valideeritakse serveripoolsete Zod kaudu. Drizzle-Zod kui ainus tõeallikas DB skeemiga.

Rate limiting with a sliding window

A sliding window rather than fixed blocks, so a limit is not handed out afresh at the top of every minute. The counter currently lives in the individual worker process; once Redis is configured, all processes share one.

Täpsemad kontrollid

Peenelt reguleeritud RBAC (fail-closed)

Roll + HTTP-meetodi teadlik: GET vajab vaatamist, POST/PATCH vajavad redigeerimist, DELETE vajab kustutamist. Puuduv luba = 403, kunagi ei mööda.

Mitme üürniku isolatsioon

companyId-scope igas DB päringus. Andmeid ei leki üürnike vahel.

Auditilogid

Iga mutatsioon logitakse läbi eventLog + AuditLogger. Muutumatud jäljed koos userId, companyId, tegevuse, entiteediga.

Approval by two people

Four actions need two approvals: changes to legal values, prices and terms, and a new sub-processor. While only one person is authorised, that person decides alone. The rule takes effect once there is a second.

Salajaste pööramise poliitika

Automaatne hoiatus 90/180/365 päeva jooksul läbi secretRotation.ts.

PII maskeerimine vastustes

E-post, IBAN, telefon maskeeritud meeskonnaliikmete jaoks, kellel ei ole PII juurdepääsu. piiMasking.ts keskus.

Logide puhastamine

Kõik logid on keskelt puhastatud. Null PII logides, jälgimises või tõrkeväljastuses.

API võtmed ulatustega

Peenelt reguleeritud õigused aegumisega läbi apiKeyAuth.ts.

Pehme kustutamine ja taastamine

28-päevane taastamine kustutatud andmetest. deletedAt veerg automaatse päringu filtriga.

Data export

Täielik JSON eksport kõigist kasutaja andmetest ühes päringus. Kustutamine DSAR voos (Art. 17).

Andmekaitse

Concrete technical measures

Välja taseme krüpteerimine (AES-256-GCM)

IBAN, maksutunnus, sotsiaalkindlustus, panganduse andmed, TOTP 2FA saladused ja ühekordsed koodid (sisselogimine/tuvastamine/taastamine): AES-256-GCM koos 96-bitise IV, 128-bitise auth-tagiga. Juhuslik IV iga krüpteerimise jaoks.

Fail-closed krüpteerimine

Ilma ENCRYPTION_KEY tootmises: server keeldub käivitumast. Ei mingit selget varu (GDPR Art. 32 lit. a).

Manipuleerimise tuvastamine (GCM)

AES-GCM auth-tag tuvastab igasuguse salakirja manipuleerimise. Dekrüpteerimine ebaõnnestub tõsiselt. Kunagi mitte vaikimisi aktsepteeri.

HMAC-SHA256 otsinguhashed

Krüpteeritud väljad jäävad otsitavaks läbi deterministliku HMAC. Eraldi võti (Key-Separation per NIST SP 800-57).

Vault võtmehaldus

ENCRYPTION_KEY + SESSION_SECRET + kõik API võtmed HashiCorp Vaultis (KV v2). Ei mingit selget koodi, keskkonnas või logides.

Võtme versioonimine rotatsiooni jaoks

Salakirja formaat v1:iv:data:tag. Vahetatav uue versiooni vastu ilma andmete kadumiseta.

Tarneahela turvalisus

Kaitse kompromiteeritud sõltuvuste eest (event-stream 2018, ua-parser-js 2021)

Dependencies as a build gate

Every build checks all dependencies against the vulnerability database. New findings block; known ones sit in a dated baseline that may only shrink.

Dependabot teated

GitHub Dependabot kontrollib iga päev CVE andmebaasi. Automaatne turvapr.

Lockfile on kinnitatud

package-lock.json repos. Takistab CI-l tõmmata erinevaid versioone kui kohalik.

SSRF protection on outbound fetches

Every address that comes from user input is checked before Wavor fetches it. Private networks are blocked, and each redirect is checked again instead of being followed blindly.

Automaatne turvaparandused

unattended-upgrades installs operating-system security fixes automatically.

Välistest skriptidest: CORS + Referrer

Turnstile (Cloudflare) on laaditud crossOrigin anonüümse + referrerPolicy no-referrer. Ei mingit autentimisandmete leket.

Jälgimine ja nähtavus

Viga jälgimine (isehostitud)

Reaalajas veateated koos virnastusjälgedega.

Mõõdikud (Prometheus + Grafana)

Päringu latentsus, DB päringud, mälu, kohandatud ärimõõdikud.

Serveri jälgimine

Saadavus, CPU, mälu, ketas: 24/7 automatiseeritud kontrollid.

Faili üleslaadimise turvalisus (7-kihiline virn)

Kaitse pahavara, polügloti rünnakute, SVG-XSS, path-traversal, MIME-sniffing eest.

Kiht 1: Absoluutne suuruse värav (100 MB)

Karm piir zip-pommide ja DoS-i vastu. Multer + sügava kaitse meetod.

Kiht 2: Tüübi järgi suuruse värav

Pildid 5 MB, PDF 20 MB, video 100 MB. Tüübi spetsiifilised piirangud.

Kiht 3: MIME valge nimekiri + must nimekiri

Lubatud on 22 tüüpi. HTML/JS/EXE/SH/JAR on selgelt blokeeritud (XSS vektorid).

Kiht 4: Failinime sanitiseerimine

Teepööramine (../), null-bait, Windowsi reserveeritud nimed blokeeritud.

Kiht 5: Magic-Byte valideerimine

Faili sisu PEAB vastama laiendusele + MIME-le. Failitüübi raamatukogu tuvastab 'evil.exe ümbernimetatud picture.jpg' rünnakud.

Kiht 6: SVG sanitiseerimine

DOMPurify eemaldab SVG-dest manustatud <script> sildid. Ilma sanitiseerimiseta on SVG üleslaadimine tavaline XSS vektor.

Layer 7: virus scan

Server-side virus scan before storage, provided the scanner is running on the server. If it is missing, that is logged rather than passed over silently.

XSS kaitse sügavalt (4 kihti)

Salvestatud, peegeldatud, DOM, tarneahela XSS. Kõik vektorid on kaetud.

Kiht 1: React JSX automaatne põgenemine

Kõik kasutaja sisendid on vaikimisi põgenenud. <script> sildid kuvatakse tekstina, kunagi ei käivitatud. Koodireegel: kunagi ei dangerouslySetInnerHTML koos kasutaja sisendiga.

Kiht 2: DOMPurify sanitiseerija

sanitizeProse() + sanitizeEmailPreview() puhastavad artikli-HTML, e-kirja eelvaated + markdown. Eemaldab <script>, <iframe>, on*-käitlejad, javascript:/data: URI-d.

Kiht 3: CSP script-src 'self'

Isegi kui kihid 1+2 ebaõnnestuvad: brauser blokeerib välismaised skriptid. Valge nimekiri ainult Stripe + Turnstile captcha jaoks.

Kiht 4: Usaldusväärsed tüübid (Admin)

require-trusted-types-for 'script' admin.wavor.io-l sunnib iga DOM-i manipuleerimist läbi poliitika. Takistab raamatukogu vigu DOM-XSS-i põhjustamast.

Sertifitseerimise teekaart

Me oleme läbipaistvad: Me ehitame üles ja meil ei ole veel ametlikke sertifikaate. Kuid me rakendame juba standardeid ja töötame aktiivselt nende suunas.

DSGVO / GDPR (EU)

Rakendatud

UK GDPR (Data Protection Act 2018)

Rakendatud

LGPD (Brasilien)

Rakendatud

DPDP Act 2023 (Indien)

Rakendatud

AVG (Niederlande)

Rakendatud

FADP (Schweiz)

Rakendatud