Wavor میں سیکیورٹی

آپ کے کاروباری ڈیٹا کو بینک کی طرح ہی تحفظ ملنا چاہیے۔ ہم صرف یہ نہیں بتاتے کہ ہم کیا تحفظ دیتے ہیں۔ ہم آپ کو یہ دکھاتے ہیں کہ ہم کیسے کرتے ہیں۔

Wavor is privacy

AES-256TLS 1.32FADSGVO/GDPRUK GDPRLGPD (BR)DPDP (IN)EU سرورز

بنیادی سیکیورٹی

AES-256 انکرپشن

حساس فیلڈز کو انکرپٹڈ شکل میں محفوظ کیا جاتا ہے۔ بغیر کلید کے پڑھنے پر، وہ کچھ نہیں دکھاتے۔

EU ڈیٹا سینٹرز (Hetzner DE)

Servers and customer files in Germany. Offsite backups sit encrypted outside the EU under the EU's transfer safeguards; the privacy policy names the provider.

اپ ٹائم اور بنیادی ڈھانچہ

99.9%

اپ ٹائم کا ہدف

بیک اپ کا وقفہ

90d

Longest retention

Nerd zone

It gets technical from here. You do not need to read any of it to use Wavor safely - it is here so it can be checked.

سیکیورٹی آرکیٹیکچر

آپ کا ڈیٹا کیسے بہتا ہے۔ درخواست سے اسٹوریج تک

STEP 1

Cloudflare ایج

DDoS تحفظ، WAF، TLS 1.3 کے ساتھ 1.2 کی واپسی۔ عالمی اینیکاسٹ نیٹ ورک۔

STEP 2

Cloudflare ٹنل

اصل جسمانی طور پر ناقابل رسائی۔ CF کے لیے صرف باہر جانے والا کنکشن، کوئی اندر آنے والا پورٹ نہیں۔ AOP حسب ضرورت صرف Wavor RSA-4096 سرٹیفکیٹ کے ساتھ اعتماد.

STEP 3

Node.js ایپ

سیشن کی توثیق، 2FA چیک، RBAC، Zod اسکیموں کے ذریعے ان پٹ کی توثیق.

STEP 4

PostgreSQL + Vault

Encrypted storage with AES-256. Secrets in HashiCorp Vault.

TLS 1.3 (1.2 واپسی)

تمام 7 ڈومینز پر مکمل سخت HTTPS۔

DDoS تحفظ

سرور کے درخواست دیکھنے سے پہلے ایج تحفظ۔

ڈیٹا کہاں محفوظ ہے؟

The servers are at Hetzner in Germany (Falkenstein and Nuremberg), customer files in object storage in Germany. The data centres are guarded around the clock, with biometric access. Backups and some services such as email, SMS and AI run through providers outside the EU. Those transfers are secured under the EU's rules, and the privacy policy names every provider.

چابیاں کیسے محفوظ کی جاتی ہیں؟

تمام API چابیاں اور راز HashiCorp Vault میں (KV v2، خفیہ، رسائی کنٹرولڈ)۔ 90/180/365 دنوں پر خودکار گردش کی وارننگ۔ کوڈ، env، یا لاگ میں کوئی plaintext راز نہیں۔

بیک اپ کیسے کام کرتا ہے؟

Automated PostgreSQL backups every 6 hours. Kept: every one for two days, one a day up to 14 days, one a week up to 90 days. Each is decrypted again and checked after encryption, and every night the newest is restored as a test. Offsite copy at Backblaze, encrypted with our own key before it leaves the server.

دفاعی تہیں

HTTP سیکیورٹی ہیڈرز: 14 سخت ہدایات

CSP Level 3 (21 Direktiven)

نافذ کرنے کا طریقہ۔ زیادہ سے زیادہ W3C معیار بشمول script-src-elem/-attr تفصیلی، ایڈمن ذیلی ڈومین پر Trusted-Types، manifest/worker/media-src وائٹ لسٹ۔

HSTS (Strict-Transport-Security)

max-age 1 سال، includeSubDomains، preload فعال۔

X-Frame-Options

DENY۔ iframe کے ذریعے کوئی کلک جیکنگ نہیں۔

X-Content-Type-Options

nosniff۔ براؤزر MIME اقسام کی غلط تشریح نہیں کر سکتے۔

Referrer-Policy

strict-origin-when-cross-origin.

Permissions-Policy

کیمرہ، مائیکروفون، جغرافیائی مقام۔ تمام ڈیفالٹ کے طور پر غیر فعال۔

COOP (Cross-Origin-Opener-Policy)

same-origin۔ براؤزنگ سیاق و سباق کو الگ کرتا ہے۔

CORP (Cross-Origin-Resource-Policy)

same-site۔ وسائل کو کراس-Origin میں شامل نہیں کیا جا سکتا۔

Independently verifiable: Mozilla's HTTP Observatory grades the headers of wavor.io A+. A test asks Mozilla for the result again every night. https://developer.mozilla.org/en-US/observatory/analyze?host=wavor.io(developer.mozilla.org)

اکاؤنٹ سیکیورٹی

2FA: TOTP / SMS / ای میل

دوسرے عنصر کے لیے تین طریقے۔ بیک اپ کوڈز ایک بار استعمال کے لیے۔

ڈیوائس کی شناخت

نئی ڈیوائسز پر فوری اطلاع ای میل کے ذریعے IP + User-Agent کے ساتھ۔

سیشن کا انتظام

فعال سیشنز دیکھیں، انفرادی طور پر ختم کریں یا ایک ساتھ تمام سائن آؤٹ کریں۔

برٹ-فورس تحفظ (3 تہیں)

ہر ای میل کے لیے 5 ناکام / 15 منٹ کی لاک آؤٹ۔ ہر IP کے لیے 10 / 1 گھنٹہ۔ ایک IP سے 5 مختلف ای میلز / 24 گھنٹے کی پابندی۔

Cloudflare ٹرن اسٹائل کیپچا

بہت زیادہ کلک پہیلی کے بغیر بوٹ تحفظ۔ کراس اوریجن اینونیمس + کوئی ریفرر کے ساتھ اسکرپٹ لوڈ کیا گیا۔ کلاؤڈ فلیر کے لیے کوئی سیشن لیک نہیں۔

Bcrypt پاس ورڈ ہیشنگ (لاگت 12)

ہر اندازہ لگانے میں کمپیوٹنگ کا وقت لگتا ہے، جو فہرست کے حملوں کو ناقابل برداشت بناتا ہے۔ پاس ورڈز >= 12 حروف، zxcvbn طاقت کی جانچ۔

Zod ان پٹ کی توثیق

تمام API ان پٹ سرور سائیڈ پر Zod کے ذریعے تصدیق شدہ ہیں۔ DB اسکیمہ کے ساتھ واحد سچائی کے ماخذ کے طور پر Drizzle-Zod۔

Rate limiting with a sliding window

A sliding window rather than fixed blocks, so a limit is not handed out afresh at the top of every minute. The counter currently lives in the individual worker process; once Redis is configured, all processes share one.

پیشرفت کنٹرول

تفصیلی RBAC (ناکام-بند)

کردار + HTTP-طریقہ سے آگاہ: GET کو دیکھنے کی ضرورت ہے، POST/PATCH کو ترمیم کی ضرورت ہے، DELETE کو حذف کرنے کی ضرورت ہے۔ اجازت کی کمی = 403، کبھی بھی بائی پاس نہیں۔

کثیر کرایہ دار علیحدگی

ہر DB کوئری پر companyId-scope۔ کرایہ داروں کے درمیان کوئی ڈیٹا لیک نہیں۔

آڈٹ لاگ

ہر تبدیلی کو eventLog + AuditLogger کے ذریعے لاگ کیا گیا۔ صارفId، companyId، عمل، ادارہ کے ساتھ ناقابل تبدیلی ٹریل۔

Approval by two people

Four actions need two approvals: changes to legal values, prices and terms, and a new sub-processor. While only one person is authorised, that person decides alone. The rule takes effect once there is a second.

راز کی گردش کی پالیسی

خفیہRotation.ts کے ذریعے 90/180/365 دنوں پر خودکار وارننگ۔

جواب میں PII ماسکنگ

ای میل، IBAN، فون PII تک رسائی نہ رکھنے والے ٹیم کے اراکین کے لیے ماسک کیا گیا۔ piiMasking.ts مرکزی۔

لاگ سکربنگ

تمام لاگ مرکزی طور پر صاف کیے جاتے ہیں۔ لاگ، مانیٹرنگ یا ڈیبگ آؤٹ پٹ میں صفر PII۔

API چابیاں کے ساتھ اسکوپس

apiKeyAuth.ts کے ذریعے میعاد ختم ہونے کے ساتھ تفصیلی اجازتیں۔

نرم حذف اور بحالی

حذف شدہ ڈیٹا کی 28 دن کی بحالی۔ deletedAt کالم کے ساتھ خودکار کوئری فلٹر۔

Data export

ایک درخواست میں تمام صارف کے ڈیٹا کا مکمل JSON برآمد۔ DSAR کے بہاؤ کے ذریعے حذف کرنا (آرٹ۔ 17)۔

ڈیٹا کی حفاظت

Concrete technical measures

فیلڈ کی سطح کی انکرپشن (AES-256-GCM)

IBAN، ٹیکس-ID، سوشل سیکیورٹی، بینک کی تفصیلات، TOTP 2FA راز اور ایک بار کے کوڈز (لاگ ان/توثیق/ری سیٹ): AES-256-GCM کے ساتھ 96-bit IV، 128-bit auth-tag۔ ہر انکرپٹ کے لیے بے ترتیب IV۔

ناکام-بند انکرپشن

پیداواری میں ENCRYPTION_KEY کے بغیر: سرور شروع ہونے سے انکار کرتا ہے۔ کوئی plaintext واپسی نہیں (GDPR آرٹ۔ 32 lit. a)۔

چھیڑ چھاڑ کا پتہ لگانا (GCM)

AES-GCM auth-tag کسی بھی ciphertext میں تبدیلی کا پتہ لگاتا ہے۔ ڈی کرپٹ سخت ناکام ہوتا ہے۔ کبھی خاموشی سے قبول نہیں۔

HMAC-SHA256 تلاش ہیش

خفیہ کردہ فیلڈز متعین HMAC کے ذریعے تلاش کے قابل رہتے ہیں۔ الگ چابی (NIST SP 800-57 کے مطابق چابی کی علیحدگی)۔

Vault کی چابی کا انتظام

ENCRYPTION_KEY + SESSION_SECRET + تمام API چابیاں HashiCorp Vault میں (KV v2)۔ کوڈ، env، یا لاگ میں کوئی plaintext نہیں۔

گردش کے لیے چابی کی ورژننگ

Ciphertext فارمیٹ v1:iv:data:tag۔ ڈیٹا کے نقصان کے بغیر نئے ورژن میں تبدیل کیا جا سکتا ہے۔

سپلائی چین سیکیورٹی

کمپرومائزڈ انحصار کے خلاف تحفظ (ایونٹ اسٹریم 2018، ua-parser-js 2021)

Dependencies as a build gate

Every build checks all dependencies against the vulnerability database. New findings block; known ones sit in a dated baseline that may only shrink.

Dependabot الرٹس

GitHub Dependabot روزانہ CVE ڈیٹا بیس کے خلاف چیک کرتا ہے۔ خودکار سیکیورٹی PRs۔

لاک فائل کو کمٹ کیا گیا

پیکیج-لاک.json ریپوزیٹری میں۔ CI کو مقامی سے مختلف ورژن کھینچنے سے روکتا ہے۔

SSRF protection on outbound fetches

Every address that comes from user input is checked before Wavor fetches it. Private networks are blocked, and each redirect is checked again instead of being followed blindly.

خودکار سیکیورٹی پیچ

unattended-upgrades installs operating-system security fixes automatically.

باہر کے اسکرپٹس: CORS + ریفرر

Turnstile (Cloudflare) کراس اوریجن اینونیمس + ریفرر پالیسی no-referrer کے ساتھ لوڈ کیا گیا۔ کوئی اسناد لیک نہیں۔

نگرانی اور مشاہدہ

غلطی کی ٹریکنگ (خود میزبان)

اسٹیک ٹریس کے ساتھ حقیقی وقت کی غلطی کے الرٹس۔

میٹرکس (Prometheus + Grafana)

درخواست کی تاخیر، DB کے سوالات، میموری، حسب ضرورت کاروباری میٹرکس۔

سرور کی نگرانی

اپ ٹائم، CPU، میموری، ڈسک: 24/7 خودکار چیک۔

فائل اپ لوڈ سیکیورٹی (7-لیئر اسٹیک)

مالویئر، پولی گلوٹ حملوں، SVG-XSS، راستہ عبور، MIME-sniffing کے خلاف تحفظ۔

لیئر 1: مکمل سائز گیٹ (100 MB)

زپ بموں + DoS کے خلاف سخت حد۔ Multer + دفاع میں گہرائی۔

لیئر 2: قسم کے لحاظ سے سائز گیٹ

تصاویر 5 MB، PDF 20 MB، ویڈیو 100 MB۔ قسم کے لحاظ سے مخصوص حدود۔

لیئر 3: MIME وائٹ لسٹ + بلاک لسٹ

22 اقسام کی اجازت ہے۔ HTML/JS/EXE/SH/JAR کو واضح طور پر بلاک کیا گیا ہے (XSS ویکٹرز)۔

لیئر 4: فائل کا نام صاف کرنا

پاتھ-ٹریورسل (../)، نل بائٹ، ونڈوز محفوظ نام بلاک کیے گئے۔

لیئر 5: جادوئی بائٹ کی توثیق

فائل کا مواد توسیع + MIME سے میل کھانا ضروری ہے۔ فائل کی قسم کی لائبریری 'evil.exe کو picture.jpg میں تبدیل کیا' حملوں کا پتہ لگاتی ہے۔

لیئر 6: SVG صاف کرنا

DOMPurify SVGs سے شامل <script> ٹیگ کو ہٹا دیتا ہے۔ بغیر صفائی کے، SVG اپ لوڈ عام XSS ویکٹر ہے۔

Layer 7: virus scan

Server-side virus scan before storage, provided the scanner is running on the server. If it is missing, that is logged rather than passed over silently.

XSS دفاع میں گہرائی (4 لیئرز)

محفوظ، عکاسی، DOM، سپلائی چین XSS۔ تمام ویکٹرز کا احاطہ کیا گیا ہے۔

لیئر 1: React JSX خودکار فرار

تمام صارف کی ان پٹ کو ڈیفالٹ کے طور پر فرار کیا گیا۔ <script> ٹیگ کو متن کے طور پر پیش کیا جاتا ہے، کبھی بھی عمل میں نہیں لایا جاتا۔ کوڈ کا اصول: صارف کی ان پٹ کے ساتھ کبھی بھی dangerouslySetInnerHTML نہ کریں۔

لیئر 2: DOMPurify صاف کرنے والا

sanitizeProse() + sanitizeEmailPreview() مضمون-HTML، ای میل-پریویو + مارک ڈاؤن کو صاف کرتے ہیں۔ <script>، <iframe>، on*-ہینڈلرز، javascript:/data: URIs کو ہٹا دیتا ہے۔

لیئر 3: CSP script-src 'self'

اگرچہ تہیں 1+2 ناکام ہو جائیں: براؤزر غیر ملکی اسکرپٹس کو بلاک کرتا ہے۔ صرف Stripe + Turnstile captcha کے لیے وائٹ لسٹ۔

لیئر 4: Trusted-Types (ایڈمن)

require-trusted-types-for 'script' پر admin.wavor.io ہر DOM ہیرا پھیری کو ایک پالیسی کے ذریعے مجبور کرتا ہے۔ لائبریری کی غلطیوں کو DOM-XSS کا سبب بننے سے روکتا ہے۔

سرٹیفیکیشن روڈ میپ

ہم شفاف ہیں: ہم ترقی کر رہے ہیں اور ابھی تک رسمی سرٹیفیکیشن نہیں رکھتے۔ لیکن ہم پہلے ہی معیارات کو نافذ کر رہے ہیں اور ان کی طرف فعال طور پر کام کر رہے ہیں۔

DSGVO / GDPR (EU)

عمل درآمد کیا گیا

UK GDPR (Data Protection Act 2018)

عمل درآمد کیا گیا

LGPD (Brasilien)

عمل درآمد کیا گیا

DPDP Act 2023 (Indien)

عمل درآمد کیا گیا

AVG (Niederlande)

عمل درآمد کیا گیا

FADP (Schweiz)

عمل درآمد کیا گیا