Безопасность

Защита на нескольких уровнях

Доступ проверяется на сервере. Администратору требуется второй фактор; роль admin нельзя получить через регистрацию или редактирование роли в панели. Сессии можно отзывать, а их исходные токены не сохраняются в базе.

Данные и обновления

API принимает только известные поля ограниченного размера. Запросы к базе параметризованы. Объявления отображаются как текст. Манифесты и серверные модули подписываются Ed25519, файлы сборок проверяются по SHA-256. Произвольный код с сервера приложение не исполняет.

Нашли уязвимость?

Не проверяйте доступ к чужим данным и не публикуйте секреты. До открытия публичного сервиса владелец укажет отдельный адрес для сообщений об уязвимостях.

Перечисленные меры не являются гарантией отсутствия всех уязвимостей. Публичный запуск требует настройки инфраструктуры, резервного копирования, обновления зависимостей и независимой проверки.

← На главную