Wavor-дағы қауіпсіздік

Сіздің бизнес деректеріңіз банк сияқты қорғауды қажет етеді. Біз сізге не қорғап жатқанымызды ғана айтпаймыз. Біз сізге қалай қорғап жатқанымызды көрсетеміз.

Wavor - бұл жеке өмір

AES-256TLS 1.32FADSGVO/GDPRUK GDPRLGPD (BR)DPDP (IN)ЕО серверлері

Негізгі қауіпсіздік

AES-256 шифрлау

Сезімтал өрістер шифрланған түрде сақталады. Кілтсіз оқу, олар ештеңе көрсетпейді.

ЕО деректер орталықтары (Hetzner DE)

Servers and customer files in Germany. Offsite backups sit encrypted outside the EU under the EU's transfer safeguards; the privacy policy names the provider.

Uptime және инфрақұрылым

99.9%

Uptime мақсаты

Резервтік көшіру аралығы

90d

Longest retention

Nerd zone

It gets technical from here. You do not need to read any of it to use Wavor safely - it is here so it can be checked.

Қауіпсіздік архитектурасы

Сіздің деректеріңіз қалай ағып жатыр. Сұраудан сақтау орындарына дейін

1-қадам

Cloudflare Edge

DDoS қорғау, WAF, 1.2 резервтік көшірмесі бар TLS 1.3. Глобалдық anycast желісі.

2-қадам

Cloudflare Tunnel

Шығу нүктесі физикалық түрде қолжетімсіз. CF-ке тек шығу байланысы, кіріс порты жоқ. AOP тек Wavor RSA-4096 сертификатымен сенімді.

3-қадам

Node.js қосымшасы

Сессияны тексеру, 2FA тексеру, RBAC, Zod схемалары арқылы енгізу тексеру.

4-қадам

PostgreSQL + Vault

Encrypted storage with AES-256. Secrets in HashiCorp Vault.

TLS 1.3 (1.2 резервтік көшірмесі)

Барлық 7 доменде толық қатал HTTPS.

DDoS қорғау

Сервер сұрауды көрмес бұрын шеткі қорғау.

Деректер қайда сақталады?

The servers are at Hetzner in Germany (Falkenstein and Nuremberg), customer files in object storage in Germany. The data centres are guarded around the clock, with biometric access. Backups and some services such as email, SMS and AI run through providers outside the EU. Those transfers are secured under the EU's rules, and the privacy policy names every provider.

Кілттер қалай қорғалады?

Барлық API кілттері мен құпиялар HashiCorp Vault-та (KV v2, шифрланған, қолжетімділік бақылауымен). 90/180/365 күнде автоматты айналдыру ескертуі. Кодта, env-де немесе журналдарда ашық мәтінді құпиялар жоқ.

Резервтік көшіру қалай жұмыс істейді?

Automated PostgreSQL backups every 6 hours. Kept: every one for two days, one a day up to 14 days, one a week up to 90 days. Each is decrypted again and checked after encryption, and every night the newest is restored as a test. Offsite copy at Backblaze, encrypted with our own key before it leaves the server.

Қорғаныс қабаттары

HTTP қауіпсіздік заголовоктары: 14 қатайтылған директива

CSP Level 3 (21 Direktiven)

Моданы мәжбүрлеу. Максималды W3C стандарты, скрипт-src-elem/-attr бөлшектелген, әкімші қосалқы доменінде Trusted-Types, manifest/worker/media-src ақ тізімі.

HSTS (Strict-Transport-Security)

max-age 1 жыл, includeSubDomains, алдын ала жүктеу қосылған.

X-Frame-Options

ТЫЙЫМ САЛУ. iframe арқылы кликжекке рұқсат жоқ.

X-Content-Type-Options

nosniff. Браузерлер MIME типтерін дұрыс түсінбеуі мүмкін емес.

Referrer-Policy

strict-origin-when-cross-origin.

Permissions-Policy

Камера, микрофон, геолокация. Әдепкі бойынша барлығы өшірілген.

COOP (Cross-Origin-Opener-Policy)

same-origin. Шолу контекстін оқшаулайды.

CORP (Cross-Origin-Resource-Policy)

same-site. Ресурстар кросс-орынға енгізілмейді.

Independently verifiable: Mozilla's HTTP Observatory grades the headers of wavor.io A+. A test asks Mozilla for the result again every night. https://developer.mozilla.org/en-US/observatory/analyze?host=wavor.io(developer.mozilla.org)

Есептік жазба қауіпсіздігі

2FA: TOTP / SMS / Email

Екінші фактор үшін үш әдіс. Резервтік кодтар бір реттік пайдалану.

Құрылғыны тану

IP + User-Agent бар электрондық пошта арқылы жаңа құрылғыларда жедел хабарлама.

Сессияны басқару

Белсенді сессияларды қарау, жеке-жеке тоқтату немесе барлығын бірден шығу.

Брутфорс қорғауы (3 қабат)

Әр электрондық пошта үшін 5 сәтсіз әрекет / 15 минуттық блокировка. Әр IP үшін 10 / 1 сағат. Бір IP-ден 5 түрлі электрондық пошта / 24 сағаттық тыйым.

Cloudflare Turnstile Captcha

Клик-пазлсыз бот қорғау. КроссOrigin анонимді + no-referrer скрипті жүктелген. Cloudflare-ге сессия ағып кетпейді.

Bcrypt паролін хэштеу (құны 12)

Әр болжам есептеу уақытын талап етеді, бұл тізім шабуылдарын қымбат етеді. Парольдер >= 12 таңба, zxcvbn күшін тексеру.

Zod енгізу валидациясы

Барлық API енгізулері сервер жағында Zod арқылы тексеріледі. Drizzle-Zod DB схемасымен бір ғана шындық көзі ретінде.

Rate limiting with a sliding window

A sliding window rather than fixed blocks, so a limit is not handed out afresh at the top of every minute. The counter currently lives in the individual worker process; once Redis is configured, all processes share one.

Кеңейтілген басқару

Нақты RBAC (сәтсіздік-жауып)

Рөл + HTTP-әдіс туралы хабардар: GET көруді қажет етеді, POST/PATCH өңдеуді қажет етеді, DELETE жоюды қажет етеді. Рұқсаттың жетіспеушілігі = 403, ешқашан айналып өтпеңіз.

Көп пайдаланушының оқшаулануы

Әр DB сұрауында companyId-диапазоны. Тенанттар арасында деректердің ағып кетуі жоқ.

Аудит журналдары

Әр мутация eventLog + AuditLogger арқылы жазылады. userId, companyId, әрекет, объекті бар өзгермейтін із.

Approval by two people

Four actions need two approvals: changes to legal values, prices and terms, and a new sub-processor. While only one person is authorised, that person decides alone. The rule takes effect once there is a second.

Құпияларды айналдыру саясаты

90/180/365 күнде автоматты ескерту secretRotation.ts арқылы.

PII жауаптарында маскалау

Электрондық пошта, IBAN, телефон PII қолжетімділігі жоқ команда мүшелері үшін маскаланған. piiMasking.ts орталық.

Журналды тазарту

Барлық журналдар орталықтан тазартылған. Журналдарда, мониторингте немесе жөндеу шығаруында нөлдік PII.

API кілттерімен ауқымдар

apiKeyAuth.ts арқылы мерзімі бар нақты рұқсаттар.

Жұмсақ жою және қалпына келтіру

Жойылған деректерді 28 күндік қалпына келтіру. deletedAt бағаны автоматты сұрау сүзгісімен.

Data export

Барлық пайдаланушы деректерінің толық JSON экспортын бір сұрау арқылы. DSAR ағыны арқылы жою (Art. 17).

Деректерді қорғау

Concrete technical measures

Өңдеу деңгейіндегі шифрлау (AES-256-GCM)

IBAN, салық-ID, әлеуметтік қорғау, банк деректері, TOTP 2FA құпиялары және бір реттік кодтар (кіру/тексеру/қалпына келтіру): AES-256-GCM 96-бит IV, 128-бит auth-tag. Әр шифрлау үшін кездейсоқ IV.

Сәтсіздік-жауып шифрлау

Өндірісте ENCRYPTION_KEY жоқ: сервер басталудан бас тартады. Таза мәтінге оралу жоқ (GDPR 32-бап, a тармағы).

Бұзуды анықтау (GCM)

AES-GCM auth-tag кез келген шифрланған мәтіннің бұзылуын анықтайды. Декодтау қатты сәтсіздікке ұшырайды. Ешқашан үнсіз қабылдамау.

HMAC-SHA256 іздеу хэштері

Шифрланған өрістер детерминирленген HMAC арқылы іздеуге болады. Бөлек кілт (NIST SP 800-57 бойынша кілтті бөлу).

Vault кілттерін басқару

ENCRYPTION_KEY + SESSION_SECRET + барлық API кілттері HashiCorp Vault (KV v2) ішінде. Кодта, ортада немесе журналдарда таза мәтін жоқ.

Айналдыру үшін кілт нұсқалары

Шифрланған мәтін форматы v1:iv:data:tag. Деректерді жоғалтпай жаңа нұсқаға айналдыруға болады.

Жеткізу тізбегінің қауіпсіздігі

Бұзылған тәуелділіктерден қорғау (event-stream 2018, ua-parser-js 2021)

Dependencies as a build gate

Every build checks all dependencies against the vulnerability database. New findings block; known ones sit in a dated baseline that may only shrink.

Dependabot хабарламалары

GitHub Dependabot күн сайын CVE дерекқорына тексереді. Автоматты қауіпсіздік PR-лары.

Lockfile бекітілді

repo-да package-lock.json. CI-дің жергілікті нұсқалардан өзгеше нұсқаларды жүктеуін болдырмайды.

SSRF protection on outbound fetches

Every address that comes from user input is checked before Wavor fetches it. Private networks are blocked, and each redirect is checked again instead of being followed blindly.

Авто қауіпсіздік патчтары

unattended-upgrades installs operating-system security fixes automatically.

Сыртқы сценарийлер: CORS + Referrer

Turnstile (Cloudflare) кроссOrigin анонимді + referrerPolicy no-referrer жүктелген. Құпия сөздер ағып кетпейді.

Мониторинг және бақылау

Қате бақылау (өз хостингінде)

Стек трассаларымен нақты уақыттағы қате хабарламалары.

Метрикалар (Prometheus + Grafana)

Сұрау кешігуі, DB сұраулары, жад, арнайы бизнес метрикалары.

Сервер мониторингі

Uptime, CPU, жад, диск: 24/7 автоматты тексерулер.

Файлды жүктеу қауіпсіздігі (7 қабатты стек)

Зиянды бағдарламалардан, полиглот шабуылдардан, SVG-XSS, жолды өту, MIME-sniffing қорғау

1-қабат: Абсолютті өлшем қақпасы (100 МБ)

Zip бомбаларына + DoS-қа қарсы қатты шек. Multer + терең қорғаныс.

2-қабат: Түр бойынша өлшем қақпасы

Суреттер 5 МБ, PDF 20 МБ, видео 100 МБ. Түрге тән шектеулер.

3-қабат: MIME ақ тізімі + қара тізім

22 түрі рұқсат етілген. HTML/JS/EXE/SH/JAR нақты түрде блокталған (XSS векторлары).

4-қабат: Файл атауын тазарту

../) жолды өту, нөлдік байт, Windows-қа арналған атаулар блокталған.

5-қабат: Magic-Byte тексеру

Файл мазмұны кеңейту + MIME сәйкес келуі МІНДЕТТІ. Файл түрі кітапханасы 'evil.exe қайта аталған picture.jpg' шабуылдарын анықтайды.

6-қабат: SVG тазарту

DOMPurify SVG-ден енгізілген <script> тегтерін жояды. Санитаризациясыз, SVG жүктеу жалпы XSS векторы.

Layer 7: virus scan

Server-side virus scan before storage, provided the scanner is running on the server. If it is missing, that is logged rather than passed over silently.

XSS терең қорғаныс (4 қабат)

Сақталған, көрсетілген, DOM, жеткізу тізбегі XSS. Барлық векторлар қамтылған.

1-қабат: React JSX автоматты түрде қашу

Барлық пайдаланушы енгізулері әдепкі бойынша қашады. <script> тегтері мәтін ретінде көрсетіледі, ешқашан орындалмайды. Код ережесі: пайдаланушы енгізуімен ешқашан dangerouslySetInnerHTML қолданбаңыз.

2-қабат: DOMPurify тазартқыш

sanitizeProse() + sanitizeEmailPreview() мақаланың HTML, электрондық пошта алдын ала қарауларын + markdown тазалайды. <script>, <iframe>, on*-хендлерлер, javascript:/data: URI-лерін жояды.

3-қабат: CSP script-src 'self'

Егер 1+2 қабаттары сәтсіз болса: браузер шетелдік скрипттерді блоктайды. Тек Stripe + Turnstile captcha үшін ақ тізім.

4-қабат: Сенімді түрлер (Әкімші)

admin.wavor.io-да 'script' үшін сенімді типтерді талап ету әрбір DOM манипуляциясын саясат арқылы мәжбүрлейді. Библиотека қателерінің DOM-XSS тудыруын болдырмайды.