Политика безопасности

Совместная ответственность

Tungsto защищает объекты, сетевую инфраструктуру и плоскость управления. Клиенты защищают операционные системы, приложения, учётные данные, ключи шифрования и резервные копии на своих серверах.

Управление учетной записью

Пароли хранятся как медленные солёные верификаторы, а сессии используют хэшированные случайные токены. Ключи API показываются один раз, хранятся как хэши и могут быть отозваны. Чувствительные действия на сервере требуют текущей аутентификации и записываются в аудит.

Инфраструктурные средства управления

Административный доступ ограничен ролями, сети управления отделены от клиентского трафика, а изменения оборудования отслеживаются. Базовая фильтрация DDoS включена, доступны расширенные профили.

Обработка данных

Платежные вебхуки подписаны и идемпотентны. Записи в реестре только добавляются. Носители сервера стираются перед возвратом в инвентарь в соответствии с задокументированным процессом завершения.

Сообщение об уязвимостях

Отправьте краткий отчёт через форму контакта по безопасности с шагами воспроизведения и описанием воздействия. Не получайте доступ к данным клиентов, не закрепляйтесь в системах и не нарушайте работу сервиса во время тестирования. Добросовестные отчёты получают подтверждение и скоординированное устранение.

Контакт по вопросам политики

Вопросы можно отправлять через страницу контактов; запросы, связанные с учетной записью, требуют отдельной проверки владения. Этот документ написан для ясности эксплуатации и не отказывается от прав, от которых нельзя отказаться по закону.