Sicherheitsrichtlinie

Geteilte Verantwortung

Tungsto schützt Einrichtungen, Netzwerkinfrastruktur und die Steuerungsebene. Kunden schützen Betriebssysteme, Anwendungen, Zugangsdaten, Verschlüsselungsschlüssel und Backups auf ihren Servern.

Kontoeinstellungen

Passwörter werden als langsame gesalzene Verifizierer gespeichert und Sitzungen verwenden gehashte Zufallstoken. API-Schlüssel werden einmalig angezeigt, als Hashes gespeichert und können widerrufen werden. Sensible Serveraktionen erfordern aktuelle Authentifizierung und werden protokolliert.

Infrastrukturkontrollen

Der administrative Zugriff ist rollenbasiert eingeschränkt, Verwaltungsnetzwerke sind vom Kundenverkehr getrennt und Hardwareänderungen werden verfolgt. Grundlegende DDoS-Filterung ist enthalten, erweiterte Profile sind verfügbar.

Datenverarbeitung

Zahlungs-Webhooks sind signiert und idempotent. Ledger-Einträge sind nur anhängbar. Servermedien werden vor der Rückkehr in den Bestand gemäß dem dokumentierten Kündigungsablauf gelöscht.

Meldung von Schwachstellen

Senden Sie einen prägnanten Bericht über das Sicherheitskontaktformular mit Reproduktionsschritten und Auswirkungen. Greifen Sie beim Testen nicht auf Kundendaten zu, verharren Sie nicht auf Systemen und stören Sie den Dienst nicht. Gutgläubige Berichte erhalten eine Bestätigung und koordinierte Behebung.

Richtlinienkontakt

Fragen können über die Kontaktseite eingereicht werden; kontospezifische Anfragen erfordern eine separate Eigentumsüberprüfung. Dieses Dokument dient der betrieblichen Klarheit und verzichtet nicht auf Rechte, auf die nicht rechtmäßig verzichtet werden kann.