Як DocTracker захищає ваші документи
DocTracker розроблений за принципом security-first architecture. Усі запити проходять автентифікацію, доступ до даних обмежується окремими workspace, а чутливі операції перевіряються на сервері.
На цій сторінці описані механізми безпеки, які наразі реалізовані у продукті.
Огляд
Безпека DocTracker базується на багаторівневих заходах: ідентифікація, перевірка API-запитів, ізоляція workspace та контроль завантаження файлів. Ці механізми знижують ризики протягом усього життєвого циклу документа.
Захист даних
Чутливі токени акаунта (підтвердження email, відновлення пароля) зберігаються у вигляді хешу, а не у відкритому вигляді. Прострочені токени та сесії очищуються за розкладом.
Підключення до бази даних налаштоване через TLS із перевіркою сертифіката. Облікові дані інтеграцій шифруються перед збереженням.
Автентифікація та безпека акаунта
- Перед доступом до захищених розділів потрібне підтвердження email.
- Паролі хешуються з використанням сучасних галузевих алгоритмів.
- Маршрути входу та відновлення акаунта захищені rate limiting.
- Доступна опціональна MFA з кодами з додатку-аутентифікатора та одноразовими резервними кодами.
- Сесійні cookie мають прапорець HTTP-only, а сесії перевіряються на сервері.
- Після зміни пароля активні сесії акаунта відкликаються.
Контроль доступу
DocTracker застосовує рольовий контроль доступу та серверні перевірки прав для чутливих операцій. Адміністративні дії доступні лише власнику workspace.
Доступ до даних обмежується межами workspace у запитах до бази даних. Клієнтські операції з документами додатково обмежуються поточним автентифікованим клієнтом.
Безпека інфраструктури
Сервіс розгорнуто на керованій хмарній платформі, яка надає інфраструктурні механізми безпеки.
Секрети застосунку та облікові дані інтеграцій передаються через змінні середовища і не хардкодяться в бізнес-логіці рантайму.
Безпека зберігання файлів
DocTracker підтримує хмарне об’єктне сховище та інтеграцію з Google Drive. Шляхи зберігання розділені за workspace.
Завантажувані файли перевіряються за дозволеними типами, розміром і лімітами завантаження.
Для прямих завантажень в об’єктне сховище використовуються короткочасні підписані URL.
Аудит і журнали подій
DocTracker веде activity log для ключових подій акаунта, документів, нагадувань і білінгу. Власники workspace можуть переглядати ці записи в застосунку.
Також зберігаються записи про прийняття юридичних документів із позначкою часу та метаданими запиту для забезпечення підзвітності.
Відповідальне розкриття
Якщо ви виявили потенційну вразливість, надішліть повідомлення через вбудовану форму "Повідомити про помилку". Додайте кроки відтворення та технічні деталі, щоб ми могли швидше провести перевірку.
Будь ласка, дійте добросовісно і не отримуйте доступ, не змінюйте та не видаляйте дані, які вам не належать. Будь-яка спроба навмисного доступу до даних або систем без авторизації може порушувати застосовне законодавство.