Безпека — частина кожної роботи
- 01
Посилено за замовчуванням
Сувора політика безпеки контенту (Content-Security-Policy) з нонсами для кожного запиту, HSTS, параметром frame-ancestors none, політиками щодо реферерів та дозволів у кожному відповіді — на цьому вебсайті.
- 02
Валідація введення та захист від CSRF
Кожна форма та кінцева точка API перевіряє та очищає вхідні дані на стороні сервера за типізованою схемою, вимагає прив’язаного до клієнта підписаного токена та proof-of-work, що вирішується браузером, забезпечує дотримання мінімального часу заповнення та обмежує частоту запитів як для кожного клієнта окремо, так і в цілому.
- 03
Залежності
Залежності зафіксовані у файлі lockfile — на цьому вебсайті.
- 04
Найменші привілеї
Секрети зберігаються в середовищі хостингової платформи, ніколи — у коді. Хмарні облікові записи, репозиторії та ключі API обмежуються тим, що фактично потрібно для роботи сервісу.
- 05
Володіння клієнта
Вихідний код, визначення інфраструктури та документація передаються у репозиторії та хмарні облікові записи, що належать клієнту. Ми зберігаємо доступ лише протягом терміну, необхідного для виконання замовлення.
- 06
Перевірено засновником
Кожна архітектура та кожен реліз перевіряються тією самою особою, яка визначала обсяг проєкту — немає передачі відповідальності, під час якої втрачається контекст безпеки.
Що збирає цей сайт і хто це обробляє
Від вас цей вебсайт збирає лише те, що потрібно його формам, щоб вам відповісти. Кожна форма показує, що саме вона запитує; повний перелік — у Політиці конфіденційності, розділ 2. Він не встановлює маркетингових файлів cookie та використовує аналітику, що не порушує конфіденційність і не використовує файли cookie.
Субпідрядники
| Постачальник | Призначення | Розташування |
|---|---|---|
| Vercel Inc. | Хостинг, edge-мережа та дружня до приватності аналітика | США / глобальний edge |
| Resend, Inc. | Доставка транзакційних листів для форм вебсайту | США |
| GitHub, Inc. | Хостинг вихідного коду та тригери розгортання | США |
| Namecheap, Inc. (Private Email) | Хостинг поштової скриньки info@delionsoft.com — отримує повідомлення, надіслані через форми вебсайту | США |
Дані про проєкти клієнтів обробляються відповідно до умов кожного договору про співпрацю та, за необхідності, договору про обробку даних; вони ніколи не потрапляють до систем цього вебсайту.
Знайшли щось? Скажіть нам — ми відреагуємо
Ми вітаємо добросовісні дослідження з питань безпеки на сайті delionsoft.com та щодо продуктів, якими ми керуємо. Про підозри на вразливості повідомляйте на адресу info@delionsoft.com або через контактну інформацію, вказану у файлі security.txt.
Будь ласка, вкажіть кроки для відтворення проблеми та, за необхідності, URL-адресу або ендпоінт, на які це впливає. Ми підтверджуємо отримання звітів протягом 5 робочих днів, інформуємо вас про хід роботи та вказуємо імена дослідників, які бажають бути зазначеними, після випуску виправлення.
Тестування не повинно погіршувати якість обслуговування інших користувачів, надавати доступ до даних, що не належать вам, або змінювати їх, а також не повинно передбачати застосування методів соціальної інженерії, фізичних атак чи атаки на відмову в обслуговуванні. Добросовісне дослідження в межах цих правил не призведе до юридичних дій з нашого боку.
У сфері дії: delionsoft.com та його піддомени; продукти, якими ми керуємо, зокрема Imperecta — imperecta.com та його передрелізні розгортання (наприклад, imperecta.pages.dev).
Поза сферою дії: сторонні сервіси, якими ми користуємося (хостинг, доставка e-mail, хостинг коду); відмова в обслуговуванні; соціальна інженерія; фізичні атаки; автоматизоване сканування, що погіршує роботу сервісу для інших.
Чого ми не заявляємо
Наразі DeLion Software не має сертифікатів ISO/IEC 27001 або SOC 2. Ми говоримо про це відверто, оскільки неперевірені значки вартують менше, ніж сторінка, яка точно розповідає, чим ми займаємося. Засновник має сертифікат Cisco CCNA Cyber Ops та інші підтверджені кваліфікації, перелічені на сторінці «Про нас», а також закінчує магістратуру з безпеки інформаційних систем.
Анкети безпеки та due diligence
Запрошуємо відділи закупівель надсилати анкети для постачальників; ми надаємо відповіді у письмовій формі та можемо підписати угоду про нерозголошення інформації (NDA) та угоду про обробку даних перед початком співпраці.
Розкажіть, що потрібно створити, поєднати чи вирішити.
Ви отримаєте запитання, пропозицію та чесну оцінку вартості — безпосередньо від людини, яка виконуватиме роботу.