Безпека

Ця сторінка описує заходи безпеки, які реально діють в Astrina.io сьогодні. Вона навмисно конкретна й навмисно неповна: там, де ми чогось не маємо, ми так і кажемо, а не натякаємо на протилежне. Якщо певного засобу захисту немає в переліку на цій сторінці, вважайте, що ми його не маємо.

Де зберігаються ваші дані

Astrina працює на одному сервері, розміщеному в OVH у ЄС. Сервером керує панель керування Hestia, і база даних (MariaDB/MySQL) працює на тому самому сервері. Перед ним стоїть Cloudflare — для DNS, CDN, термінації TLS і WAF.

Повний перелік третіх сторін, які обробляють дані від нашого імені, наведено на сторінці Субобробники. Що ми збираємо і як довго зберігаємо, викладено в Політиці приватності та на сторінці Зберігання даних.

Шифрування під час передавання

Увесь трафік до Astrina.io і від нього передається через TLS. Cloudflare налаштовано в режимі Full (strict), а це означає, що з'єднання між Cloudflare і нашим origin-сервером також зашифроване, а сертифікат origin перевіряється. Сертифікат origin видано Let's Encrypt.

Паролі

• Паролі зберігаються лише у вигляді хешу, створеного PHP-функцією password_hash() з використанням bcrypt (PASSWORD_DEFAULT), і перевіряються через password_verify().
• Ми ніколи не зберігаємо ваш пароль у відкритому вигляді й ніколи не записуємо його в лог. Ніхто в Astrina не може прочитати ваш пароль або сказати вам, який він.
• Токени підтвердження email і скидання пароля зберігаються у вигляді SHA-256-хешу токена, є одноразовими та мають обмежений строк дії.
• Там, де пароль перевіряється за відомими списками витоків, ми використовуємо метод k-anonymity сервісу Pwned Passwords: надсилаються лише перші п'ять символів SHA-1-хешу пароля. Сам пароль ніколи не залишає браузер або наш сервер.

Для облікових записів Astrina немає двофакторної автентифікації. Див. «Чого ми ще не маємо» нижче.

Сесії та форми

• Сесійний cookie називається astrsess. Він встановлюється з HttpOnly (JavaScript не може його прочитати), Secure (він надсилається лише через HTTPS) і SameSite=Lax.
• Надсилання форм, які змінюють стан, супроводжується CSRF-токеном, тож інший сайт не може змусити ваш браузер виконати дію у вашому обліковому записі.

API-ключі

• Ваш API-ключ приймається лише в заголовку запиту — X-Api-Key або Authorization: Bearer. Ми навмисно не приймаємо ключі в рядку запиту URL.
• Цей вибір має значення: ключ, розміщений в URL, зазвичай потрапляє в журнали доступу сервера, журнали проксі, історію браузера та заголовки Referer, що надсилаються на інші сайти. Ключ у заголовку — ні.
• Ви можете будь-коли перегенерувати свій ключ на /my/api.php. Перегенерація миттєво відкликає старий ключ.
• Кожен план має добову квоту викликів. Щойно її вичерпано, API повертає HTTP 429, замість того щоб продовжувати обслуговувати запити.

Міждоменний доступ (CORS)

Наші публічні методи API навмисно відкриті для будь-якого джерела (Access-Control-Allow-Origin: *), оскільки вони віддають публічні дані каталогу. Приватний метод аналітики, /api/v1/stats, взагалі не надсилає заголовка Allow-Origin — тож вебсторінка на іншому сайті не може скористатися браузером відвідувача, щоб прочитати вашу статистику, навіть якщо вона якимось чином має ваш ключ.

Посилений захист SEO-краулера

Наш SEO-краулер завантажує URL-адреси, які надають клієнти, — а це саме той тип функціональності, яким зловживають, щоб дістатися до внутрішніх систем (SSRF). Його захищено від цього:

• Приймаються лише URL-адреси http і https.
• Приватні, петльові (loopback) і link-local діапазони IP-адрес відхиляються.
• Розв'язана IP-адреса закріплюється, тож ім'я хоста не може розв'язатися в іншу адресу між перевіркою та запитом.
• Кожен перехід за перенаправленням повторно перевіряється за тими самими правилами, а не лише перший URL.
• Розмір тіла відповіді обмежено.

Запис сесій маскується за замовчуванням

Якщо ви увімкнете необов'язковий запис сесій, маскування ввімкнено за замовчуванням і застосовується в браузері відвідувача — перш ніж будь-що буде надіслано нам:

• Поля введення пароля, електронної пошти й телефону взагалі ніколи не передають значення. Ні тексту, ні його замаскованої версії, ні навіть його довжини.
• Поля платіжних карток обробляються так само.
• Текст, введений у будь-яке інше поле введення, маскується крапками.
• Будь-яка частина вашої сторінки, яку ви позначите атрибутом [data-astr-mask], приховується, перш ніж вона залишить браузер.

Записи зберігаються 30 днів за замовчуванням. Строк зберігання можна налаштувати.

Файли-докази у відгуках

Зображення та відео, додані як докази до деяких типів відгуків, зберігаються поза кореневим каталогом вебсервера, тож їх неможливо отримати, вгадавши URL. Вони віддаються лише через захищену кінцеву точку, яка повертає 403, окрім випадків, коли відгук схвалено, або ви є автором відгуку, або ви є адміністратором.

Захист від зловживань і ботів

• Надсилання відгуків обмежено за частотою для кожної IP-адреси, а відгуки модеруються. Відгуки від гостей публікуються лише після модерації; відгуки від учасників, які увійшли в акаунт, публікуються одразу.
• Аналітичний трафік фільтрується на ботів за правилами user-agent разом із класифікацією IP-адрес дата-центрів і хостингів через зворотний DNS.

Доступ адміністраторів

Адміністративний розділ захищено перевіркою ролі акаунта. Адміністративні акаунти використовують той самий механізм входу, що й усі інші, а це означає, що вони так само не захищені двофакторною автентифікацією.

Електронні листи, які ми надсилаємо

Вихідна пошта (з адреси noreply@astrina.io) надсилається нашим власним поштовим сервером Exim із налаштованим DKIM, тож одержувачі можуть перевірити, що повідомлення справді надійшло від нас. Ми не передаємо вашу адресу сторонньому поштовому провайдеру.

Резервні копії та відновлення сервісу

Hestia створює одну щоденну резервну копію файлів і бази даних, приблизно о 05:12 UTC.

Резервні копії зберігаються на тому самому сервері, на якому працює сервіс. Копії поза майданчиком немає, як немає й гео-резервованої реплікації. Це справжнє обмеження, і вам слід врахувати його у власному плануванні: подія, яка знищить сервер, знищить і резервні копії, що зберігаються на ньому. На практиці в будь-який момент існує приблизно одна щоденна копія.

Якщо сервіс потрібно відновити, ми відновлюємо його з останньої щоденної резервної копії. Ми не гарантуємо цільового часу відновлення (RTO) чи цільової точки відновлення (RPO) і не пропонуємо публічної угоди про рівень обслуговування. SLA існує лише там, де його окремо погоджено в індивідуальному договорі.

Чого в нас поки що немає

Ми радше скажемо вам це прямо, ніж дозволимо сторінці про безпеку натякати на більше, ніж їй належить. Astrina наразі не має:

• Немає двофакторної автентифікації (2FA) і немає SSO для самої панелі Astrina.
• Немає стороннього аудиту безпеки й немає тесту на проникнення. Жодного не проводилося, тож немає результатів для публікації.
• Немає ISO 27001, SOC 2 чи будь-якої іншої сертифікації. Ми не сертифіковані й не проходили аудиту за жодним стандартом.
• Немає резервної копії поза майданчиком. Див. розділ про резервні копії вище.
• Немає програми bug bounty. Ми приймаємо повідомлення, але не можемо за них платити.
• Немає формальної угоди про рівень обслуговування та немає опублікованої гарантії безвідмовної роботи.

Якщо щось із цього є для вас обов'язковою вимогою — сьогодні цього немає, і вам слід ухвалювати рішення відповідно.

Повідомлення про проблему безпеки

Якщо ви знайшли вразливість, будь ласка, повідомте про неї на support@astrina.io. Це єдина контактна адреса для повідомлень про безпеку.

Буде корисно, якщо ви вкажете уражену URL-адресу або кінцеву точку, кроки для відтворення та те, чого міг би досягти зловмисник. Будь ласка, дайте нам розумну можливість виправити проблему до її публічного розкриття і, будь ласка, не отримуйте доступ до даних, що належать іншим людям, не змінюйте та не видаляйте їх під час тестування.

Ми не проводимо програму bug bounty і не можемо запропонувати оплату чи винагороду за повідомлення. Ми також не обіцяємо час відповіді, оскільки не пропонуємо публічного SLA — але повідомлення, надіслані на цю адресу, справді доходять до нас, і ми справді на них реагуємо.

Ваші дані та ваш контроль над ними

• Ви можете будь-коли видалити окремий відстежуваний сайт зі своєї панелі, що видаляє його дані.
• Ви можете будь-коли перегенерувати або відкликати свій API-ключ на /my/api.php.
• Сьогодні в панелі немає кнопки самостійного видалення акаунта. Щоб ваш акаунт і дані було видалено, напишіть на support@astrina.io, і ми зробимо це на запит.

Пов'язані сторінки

• Політика конфіденційності — що ми збираємо і навіщо
• Строк зберігання даних — як довго зберігається кожен вид даних
• Субобробники — залучені треті сторони
• Файли cookie — що встановлюється і на чиєму домені
• Угода про обробку даних
• Умови користування · Політика допустимого використання
• Контакт