Wavorдагы коопсуздук Сиздин бизнес маалыматтарыңыз банктагыдай эле коргоону талап кылат. Биз сизге эмне коргой турганыбызды гана айтпастан, кантип коргой турганыбызды көрсөтөбүз.
AES-256 Шифрлөө
Сезгич талаалар шифрленген сакталат. Ключсуз окулганда, эч нерсе көрсөтпөйт.
Европа Союзунун маалымат борборлору (Hetzner DE)
Servers and customer files in Germany. Offsite backups sit encrypted outside the EU under the EU's transfer safeguards; the privacy policy names the provider.
Nerd zone It gets technical from here. You do not need to read any of it to use Wavor safely - it is here so it can be checked.
Коопсуздук архитектурасы Сиздин маалыматтарыңыздын агымы. Суранычтан сактоого чейин
1-ЭТАП
Cloudflare Edge
DDoS коргоо, WAF, TLS 1.3 1.2 резервдик менен. Глобалдык anycast тармагы.
2-ЭТАП
Cloudflare Tunnel
Башталыш физикалык жактан жеткиликтүү эмес. CF'ке чыгыш гана байланышы, кириш порту жок. AOP Custom-only Trust Wavor RSA-4096 сертификаты менен.
3-ЭТАП
Node.js колдонмосу
Сессияны текшерүү, 2FA текшерүү, RBAC, Zod схемалары аркылуу киргизүүнү текшерүү.
4-ЭТАП
PostgreSQL + Vault
Encrypted storage with AES-256. Secrets in HashiCorp Vault.
TLS 1.3 (1.2 резервдик)
Бардык 7 доменде толук катуу HTTPS.
DDoS коргоо
Сервер суранычты көргөнгө чейин Edge коргоо.
Маалымат кайда сакталат?
The servers are at Hetzner in Germany (Falkenstein and Nuremberg), customer files in object storage in Germany. The data centres are guarded around the clock, with biometric access. Backups and some services such as email, SMS and AI run through providers outside the EU. Those transfers are secured under the EU's rules, and the privacy policy names every provider.
Калиттер кандайча корголот?
Бардык API калиттери жана сырлары HashiCorp Vault (KV v2, шифрленген, кирүү контролдонуучу). 90/180/365 күндө автоматтык ротация эскертүүсү. Коддо, env же логдордо ачык тексттеги сырлар жок.
Резервдик көчүрүү кандайча иштейт?
Automated PostgreSQL backups every 6 hours. Kept: every one for two days, one a day up to 14 days, one a week up to 90 days. Each is decrypted again and checked after encryption, and every night the newest is restored as a test. Offsite copy at Backblaze, encrypted with our own key before it leaves the server.
Коргоо катмарлары HTTP коопсуздук башчылары: 14 катууланган директивалар
CSP Level 3 (21 Direktiven)
Мажбурлоо режим. Максималдуу W3C стандарттары, анын ичинде script-src-elem/-attr так, Trusted-Types администратор субдоменинде, manifest/worker/media-src ак тизмеси.
HSTS (Strict-Transport-Security)
max-age 1 жыл, includeSubDomains, preload иштетилген.
X-Frame-Options
ТЫЙУУ. iframe'дер аркылуу clickjacking жок.
X-Content-Type-Options
nosniff. Браузерлер MIME түрлөрүн туура эмес түшүнбөйт.
Referrer-Policy
strict-origin-when-cross-origin.
Permissions-Policy
Камера, микрофон, геолокация. Бардыгы автоматтык түрдө өчүрүлгөн.
COOP (Cross-Origin-Opener-Policy)
бирдей-булагы. Браузинг контекстин изоляциялайт.
CORP (Cross-Origin-Resource-Policy)
бирдей-сайт. Ресурстар кросс-булагында киргизилбейт.
Independently verifiable: Mozilla's HTTP Observatory grades the headers of wavor.io A+. A test asks Mozilla for the result again every night. https://developer.mozilla.org/en-US/observatory/analyze?host=wavor.io(developer.mozilla.org)
2FA: TOTP / SMS / Email
Экинчи фактор үчүн үч ыкма. Резервдик коддор бир жолу колдонулат.
Куралдарды таануу
Жаңы куралдар боюнча дароо билдирүү электрондук почта аркылуу IP + User-Agent менен.
Сессияларды башкаруу
Активдүү сессияларды көрүү, жеке-жеке токтотуу же баарын бир эле учурда чыгуу.
Брутфорс коргоо (3 катмар)
Ар бир электрондук почта үчүн 5 каталар / 15минуттук блокировка. 1 IP үчүн 10 / 1саат. Бир IPден 5 өзгөчө электрондук почта / 24сааттык тыюу.
Cloudflare Turnstile Captcha
Клик-пазлсуз бот коргоо. Кросс-оригин анонимдүү + реферерсиз скрипт жүктөлөт. Cloudflare'ге сессиянын агып кетиши жок.
Bcrypt паролду хэшдөө (баа 12)
Ар бир болжолдоо эсептөө убактысын талап кылат, бул тизмек чабуулдарын кымбат кылат. Паролдор >= 12 символ, zxcvbn күч текшерүү.
Zod киргизүү текшерүү
Бардык API киргизүүлөрү сервер тараптан Zod аркылуу текшерилет. Drizzle-Zod DB схемасы менен бир гана чындык булагы катары.
Rate limiting with a sliding window
A sliding window rather than fixed blocks, so a limit is not handed out afresh at the top of every minute. The counter currently lives in the individual worker process; once Redis is configured, all processes share one.
Жука RBAC (жабык-таштоо)
Роль + HTTP-методго таандык: GET көрүүнү талап кылат, POST/PATCH редакциялоону талап кылат, DELETE өчүрүүнү талап кылат. Рұқсат жок = 403, эч качан өткөрүп жибербеңиз.
Көп-менчик изоляциясы
Ар бир DB суроосунда companyId-облуусу. Менчиктер арасында маалымат агып кетпейт.
Аудит логдору
Ар бир мутация eventLog + AuditLogger аркылуу жазылат. Колдонуучу ID, компания ID, аракет, объект менен өзгөртүлбөс из.
Approval by two people
Four actions need two approvals: changes to legal values, prices and terms, and a new sub-processor. While only one person is authorised, that person decides alone. The rule takes effect once there is a second.
Сыр сөздү алмаштыруу саясаты
90/180/365 күндө автоматтык эскертүү secretRotation.ts аркылуу.
PII жоопторунда маскалоо
Электрондук почта, IBAN, телефон PII кирүү укугу жок команда мүчөлөрү үчүн маскаланып турат. piiMasking.ts борбордук.
Логду тазалоо
Бардык логдор борбордон тазаланат. Логдордо, мониторингде же дебаг чыгымдарында нөл ПИИ жок.
API ачкычтары менен облустар
apiKeyAuth.ts аркылуу мөөнөтү өтүп кеткен так рұқсаттар.
Жумшак өчүрүү жана калыбына келтирүү
Өчүрүлгөн маалыматтарды 28 күн калыбына келтирүү. Автоматтык суроо фильтри менен deletedAt бағанасы.
Data export
Бардык колдонуучу маалыматтарынын толук JSON экспортун бир суроо менен. DSAR агымы аркылуу жок кылуу (Art. 17).
Маалыматтарды коргоо Concrete technical measures
Поле деңгээлинде шифрлөө (AES-256-GCM)
IBAN, салык-ID, социалдык камсыздандыруу, банк маалыматтары, TOTP 2FA сырлары жана бир жолу колдонулуучу коддор (кирүү/текшерүү/кайра орнотуу): AES-256-GCM 96-бит IV, 128-бит auth-tag менен. Ар бир шифрлөө үчүн кездемелүү IV.
Жабык-таштоо шифрлөө
ENCRYPTION_KEY өндүрүштө жок: сервер баштоону четке кагат. Plaintext fallback жок (GDPR Art. 32 lit. a).
Тамперди аныктоо (GCM)
AES-GCM auth-tag ар кандай шифр текстинин бузулушун аныктайт. Декоддоо катуу иштебейт. Эч качан үнсүз кабыл алуу.
HMAC-SHA256 издөө хэштери
Шифрленген талаалар детерминисттик HMAC аркылуу издөөдө калат. Бөлүнгөн ачкыч (NIST SP 800-57 боюнча ачкычты бөлүү).
Vault ачкычтарын башкаруу
ENCRYPTION_KEY + SESSION_SECRET + бардык API ачкычтары HashiCorp Vault (KV v2) ичинде. Коддо, чөйрөдө же логдордо plaintext жок.
Ачкыч версиясын алмаштыруу
Шифр текстинин форматы v1:iv:data:tag. Маалымат жоготпостон жаңы версияга айландырууга болот.
Жеткирүү чынжырын коопсуздук Бузулган көзкарандычтардан коргоо (event-stream 2018, ua-parser-js 2021)
Dependencies as a build gate
Every build checks all dependencies against the vulnerability database. New findings block; known ones sit in a dated baseline that may only shrink.
Dependabot эскертүүлөрү
GitHub Dependabot күн сайын CVE базасына каршы текшерет. Автоматтык коопсуздук PRлар.
Lockfile тапшырылды
repo'до package-lock.json. CI'ни жергиликтүүдан башка версияларды жүктөөгө тоскоол кылат.
SSRF protection on outbound fetches
Every address that comes from user input is checked before Wavor fetches it. Private networks are blocked, and each redirect is checked again instead of being followed blindly.
Авто коопсуздук патчтары
unattended-upgrades installs operating-system security fixes automatically.
Сырткы скрипттер: CORS + реферер
Turnstile (Cloudflare) кросс-оригин анонимдүү + реферер саясаты жок реферер менен жүктөлөт. Эч кандай credential агып кетпейт.
Ката издөө (өзүнчө хостинг)
Чыныгы убакыттагы ката эскертүүлөрү стек издери менен.
Метрикалар (Prometheus + Grafana)
Суроо кечигүүсү, DB суроолору, эс тутум, өзгөчө бизнес метрикалары.
Серверди байкоо
Убакыт, CPU, эс, диск: 24/7 автоматташтырылган текшерүүлөр.
Файл жүктөө коопсуздугу (7 катмарлуу стек) Вирустардан, полиглот чабуулдарынан, SVG-XSS, жолду өтүү, MIME-sniffingден коргоо.
Катмар 1: Абсолюттук өлчөм дарбазасы (100 MB)
Zip бомбаларга жана DoS'ка каршы катуу чектөө. Multer + терең коргоо.
Катмар 2: Түп-түргө жараша өлчөм дарбазасы
Сүрөттөр 5 MB, PDF 20 MB, видео 100 MB. Түргө жараша чектөөлөр.
Катмар 3: MIME ак тизмеси + кара тизмеси
22 түргө уруксат берилет. HTML/JS/EXE/SH/JAR ачык түрдө бөгөттөлгөн (XSS векторлору).
Катмар 4: Файл атын тазалоо
../) жолду өтүү, нөл байт, Windows'ка резервделген аттар бөгөттөлдү.
Катмар 5: Magic-Byte текшерүү
Файлдын мазмуну кеңейтүү + MIME менен дал келиши МУКТАК. Файл түрү китепканасы 'жаман.exe аталышындагы сүрөт.jpg' чабуулдарын аныктайт.
Катмар 6: SVG тазалоо
DOMPurify SVG'лерден <script> тегдерин алып салат. Санитариясыз, SVG жүктөө жалпы XSS вектору.
Layer 7: virus scan
Server-side virus scan before storage, provided the scanner is running on the server. If it is missing, that is logged rather than passed over silently.
XSS терең коргоо (4 катмар) Сакталган, чагылдырылган, DOM, камсыздоо чынжырындагы XSS. Бардык векторлор камтылган.
Катмар 1: React JSX Авто-качуу
Бардык колдонуучунун киргизүүлөрү автоматтык түрдө качырылат. <script> тегдери текст катары көрсөтүлөт, эч качан аткарылбайт. Код эрежеси: колдонуучунун киргизүүсү менен эч качан dangerouslySetInnerHTML колдонбоо.
Катмар 2: DOMPurify тазалагычы
sanitizeProse() + sanitizeEmailPreview() макала-HTML, электрондук почта алдын ала көрүүлөрүн + markdown тазалайт. <script>, <iframe>, on*-колдонуучулар, javascript:/data: URI'лерин алып салат.
Катмар 3: CSP script-src 'өзү'
Эгерде катмарлар 1+2 иштебей калса: браузер чет элдик скрипттерди бөгөттөйт. Whitelist тек гана Stripe + Turnstile captcha үчүн.
Катмар 4: Ишенимдүү түрлөр (Администратор)
require-trusted-types-for 'script' admin.wavor.io'до ар бир DOM манипуляциясын саясат аркылуу мажбурлайт. Библиотека катачылыктарынын DOM-XSS жаратуусун алдын алат.
Сертификациялык жол картасы Биз ачыкпыз: Биз курулуп жатабыз жана азырынча расмий сертификаттарга ээ эмеспиз. Бирок биз стандарттарды ишке ашырып жатабыз жана аларга активдүү иштеп жатабыз.
DSGVO / GDPR (EU)
Ишке ашырылган UK GDPR (Data Protection Act 2018)
Ишке ашырылган LGPD (Brasilien)
Ишке ашырылган DPDP Act 2023 (Indien)
Ишке ашырылган AVG (Niederlande)
Ишке ашырылган FADP (Schweiz)
Ишке ашырылган ePrivacy (Cookie-Consent)
Ишке ашырылган DSA (Digital Services Act)
Ишке ашырылган
ISO 27017 + 27018 (Cloud)
Пландар
ISO 27701 (Privacy)
Пландар
ISO 42001 (AI Management)
Пландар Биз ошондой эле ЕС AI Актына, NIS2 жана GoBD (Германия бухгалтериясы) ылайык келебиз. Бул сертификаттар эмес, жөнгө салуулар.
We only work with vetted, certified providers. Each one has been checked for security and data protection.
Hetzner Online GmbH ISO 27001, data centre in Germany
Cloudflare, Inc. SOC 2, ISO 27001
Stripe Payments Europe Ltd. PCI DSS Level 1
Amazon Web Services, Inc. (AWS) ISO 27001, SOC 2
OVH SAS (OVHcloud) ISO 27001, stored in Germany. Encryption at rest by the provider (AES-256).
Backblaze, Inc. SOC 2. Bucket with Object Lock (compliance mode): once written, a backup cannot be deleted before its retention date.
Twilio, Inc. SOC 2, ISO 27001
Mistral AI SAS SOC 2 Type II, ISO 27001/27701, data in the EU
OpenAI LLC SOC 2 Type II, no training on API inputs
OpenProvider B.V. EU-based (Netherlands)
Коопсуздук маселесин билдирүү Кесепетти таптыңызбы? Биздин командага купуялык менен билдирип коюңуз. Биз ар бир билдирүүнү олуттуу кабыл алабыз жана мүмкүн болушунча тезирээк жооп беребиз.
Билдирүү 