Politique de sécurité

Responsabilité partagée

Tungsto protège les installations, l'infrastructure réseau et le plan de contrôle. Les clients protègent les systèmes d'exploitation, les applications, les informations d'identification, les clés de chiffrement et les sauvegardes sur leurs serveurs.

Contrôles du compte

Les mots de passe sont stockés sous forme de vérificateurs salés lents et les sessions utilisent des jetons aléatoires hachés. Les clés API sont affichées une seule fois, stockées sous forme de hachages et peuvent être révoquées. Les actions sensibles sur le serveur nécessitent une authentification actuelle et sont journalisées.

Contrôles d'infrastructure

L'accès administratif est limité par rôle, les réseaux de gestion sont séparés du trafic client et les modifications matérielles sont suivies. Le filtrage de base DDoS est inclus, avec des profils avancés disponibles.

Traitement des données

Les webhooks de paiement sont signés et idempotents. Les entrées du registre sont en ajout seul. Les supports des serveurs sont effacés avant retour à l'inventaire selon le flux de terminaison documenté.

Signalement des vulnérabilités

Envoyez un rapport concis via le formulaire de contact de sécurité avec les étapes de reproduction et l'impact. N'accédez pas aux données des clients, ne persistez pas sur les systèmes et ne perturbez pas le service pendant les tests. Les rapports de bonne foi reçoivent un accusé de réception et une remédiation coordonnée.

Contact pour les politiques

Les questions peuvent être soumises via la page de contact ; les demandes spécifiques au compte nécessitent une vérification de propriété séparée. Ce document est rédigé pour la clarté opérationnelle et ne renonce pas aux droits auxquels on ne peut légalement renoncer.