Информация о безопасности
Информация о безопасности
Описание реализованных границ безопасности без заявлений о сертификации.- Версия
- 2026-08-24
- Действует с
- Обновлено
1. Изоляция организаций
Данные бизнеса привязаны к организации. RLS, tenant-scoped foreign keys и серверные проверки предназначены для предотвращения доступа между организациями. Привилегированные процессы используют узкие аудируемые database-функции, а не tenant ID из браузера.
2. Аутентификация и доступ
В production сессии поддерживаются secure cookie. Доступ бизнеса дополнительно проверяется по membership, состоянию аккаунта, оплате/ручному доступу и приостановке. Права Employee уже прав Owner. Полномочия Superior Administrator отделены от прав владельца пространства, аудируются и ограничены процессами поддержки и администрирования сервиса.
3. Секреты и интеграции
Ключ OpenAI и credentials интеграций обрабатываются серверно. Telegram credentials используют зашифрованное серверное хранение и проверяемые webhook-secrets. Запросы rate-limited, а webhook/integration routes рассчитаны на отклонение некорректного и повторного ввода.
4. Сообщение об уязвимости
Для сообщения о предполагаемой уязвимости используйте категорию «Безопасность» контактной формы HexSales. Запрос сохраняется в закрытой операционной очереди. Не включайте пароли, токены, приватные ключи, действующие exploit-payloads или лишние персональные данные.