Valeron Systems · Zaufanie i bezpieczeństwo
Poniżej opisujemy zabezpieczenia, które działają dziś w usłudze Valeron OS. Wymieniamy tylko to, co naprawdę jest włączone, i celowo pomijamy wewnętrzne szczegóły, które mogłyby pomóc atakującemu.
Aktywne
Nasze serwery ustalają, do którego salonu należysz, na podstawie Twojego logowania — nigdy na podstawie danych wysłanych przez przeglądarkę — i stosują to przy każdym odczycie i każdej zmianie. Z konta salonu nie da się otworzyć danych innego salonu.
Aktywne
Członków zespołu zapraszasz, nadając im rolę menedżera, stylistki lub operatora recepcji, a każda rola ma dostęp tylko do tego, czego potrzebuje. Na przykład ani stylistka, ani operator recepcji nie zmienią Twoich cen, a nowe osoby do zespołu możesz zaprosić tylko Ty jako właściciel.
Aktywne
W aplikacji Valeron OS zmianę danych salonu przyjmujemy tylko od zalogowanego członka zespołu, którego rola na to pozwala. Próba zmiany wysłana z innej strony internetowej jest odrzucana — nawet wtedy, gdy Twoje konto jest zalogowane. Strona rezerwacji Twojego salonu, jeśli ją włączysz, pozwala odwiedzającym wysyłać Ci prośby o rezerwację, a Twoje klientki mogą wycofać zgodę marketingową przez swój osobisty link. Te dwa publiczne formularze sprawdzają przesłane dane, zanim je przyjmą.
Aktywne
Nigdy nie przechowujemy Twojego hasła — tylko jego zabezpieczony, jednokierunkowy odcisk cyfrowy, którego obliczenie celowo trwa dłużej. Hasło musi mieć co najmniej 12 znaków, w tym litery i cyfry, a zalogować się można dopiero po potwierdzeniu adresu e-mail. Formularz logowania ogranicza też liczbę prób w krótkim czasie.
Aktywne
Logowanie jest zapisane w podpisanym pliku cookie, którego nie da się niepostrzeżenie zmienić, którego skrypty strony nie mogą odczytać i który jest wysyłany wyłącznie przez HTTPS. Wylogowanie kończy sesję również na naszych serwerach, a zresetowanie hasła wylogowuje Cię ze wszystkich urządzeń.
Aktywne
Linki do logowania, resetowania hasła i zaproszeń do zespołu są generowane losowo. Linki do logowania i resetowania hasła działają tylko raz i wygasają po 30 minutach; link z zaproszeniem daje dostęp do Twojego salonu tylko raz i wygasa po 7 dniach.
Aktywne
Klucze, którymi łączymy się z innymi usługami, oraz poufne dane chroniące Twoje logowanie są używane wyłącznie po stronie serwera. Nigdy nie trafiają do Twojej przeglądarki.
Aktywne
Valeron OS działa wyłącznie przez szyfrowane połączenie HTTPS: zwykłe HTTP jest przekierowywane, a przeglądarki otrzymują polecenie, by używać tylko HTTPS. Połączenie między naszą aplikacją a bazą danych również jest szyfrowane.
Aktywne
Nasze strony wskazują przeglądarce, które skrypty mogą się uruchomić, nie dają się osadzić w innych witrynach i nie mogą korzystać z kamery, lokalizacji ani funkcji płatności przeglądarki.
Aktywne
Baza danych Valeron OS działa w Irlandii (UE), a serwery aplikacji, które odczytują i zmieniają dane Twojego salonu, działają w Dublinie; ruch z przeglądarek dociera do nich przez globalną sieć naszego dostawcy hostingu. Dostawca bazy danych szyfruje wszystkie przechowywane dane, a dostawca hostingu automatycznie ogranicza skutki zmasowanych ataków, które mają przeciążyć serwis. Część naszych dostawców działa poza UE — gdzie dokładnie, pokazuje strona „Podwykonawcy”, do której link znajdziesz na dole tej strony.
Aktywne
Codziennie wykonujemy automatyczną, szyfrowaną kopię zapasową bazy danych i przechowujemy ją poza infrastrukturą dostawcy bazy danych. Każda kopia jest następnie automatycznie odtwarzana w tymczasowej bazie i sprawdzana pod kątem kompletności.
Aktywne
Wiele żądań z aplikacji Valeron OS przechodzi na naszych serwerach przez centralną kontrolę bezpieczeństwa. Jeśli ta kontrola odrzuci żądanie, ponieważ wskazuje ono inny salon niż ten, w którym jesteś zalogowana lub zalogowany, odmowa zostaje zapisana w dzienniku bezpieczeństwa w naszej bazie danych. Kontrola odrzuca też próby zmiany danych wysłane z innych stron internetowych.
Aktywne
Wewnętrzny panel administracyjny Valeron Systems jest dostępny tylko dla jednego konta firmowego, z dodatkowym potwierdzeniem przez e-mail: każde nowe logowanie trzeba potwierdzić jednorazowym linkiem wysłanym na adres tego konta.
To publiczne podsumowanie. Celowo nie zawiera sekretów, wewnętrznych adresów usług ani szczegółów implementacji, które można by wykorzystać do ataku.
Gdzie działają nasi dostawcy i jakie dane przetwarzają: Podwykonawcy