Безопасен ли е Safha? Сигурност и вашите файлове

Не продаваме личните ви данни, не показваме насочени реклами и не използваме рекламни бисквитки или бисквитки за проследяване от трети страни. Политиката за сигурност на съдържанието (Content Security Policy) на сайта позволява на страниците ни да се свързват само с нашия собствен домейн (connect-src 'self').

Не ви е нужен профил, за да използвате инструментите. Статистиката ни е собствена: никога не съхраняваме суровия ви IP адрес, а го превръщаме в хеширан идентификатор чрез тайна стойност, която се сменя всеки ден. Дневниците на инструментите никога не съдържат имената или съдържанието на файловете ви, а само инструмента, къде е работил, дали е успял, колко време е отнел и приблизителен диапазон на размера.

Файлът се прочита и обработва във вашия браузър, а вие изтегляте резултата направо от браузъра. Файлът не се изпраща до какъвто и да е сървър. Това важи за повечето инструменти за PDF и снимки, например обединяване, разделяне, завъртане, подписване на собствен файл и компресиране на снимки.

Някои инструменти се нуждаят от софтуер, който не работи добре в браузър, например при конвертиране на офис документи и разпознаване на текст (OCR). Тук файлът ви се изпраща по криптирана връзка до нашата услуга за конвертиране, която го обработва и го изтрива веднага щом резултатът ви бъде изпратен.

„Резюме на PDF“, „Превод на PDF“ и „Въпроси към PDF“ извличат текста от файла ви и изпращат този текст, а не файла, до Anthropic по криптирана връзка. Подробности ще намерите в раздела ИИ. Препоръчваме да не използвате тези инструменти за силно чувствителни документи.

Когато поискате от други хора да подпишат документ, пазим го, докато всички не го подпишат: документа, имената и имейлите на подписващите и одитна следа за всяка стъпка. Тази функция е само за потребители с профил. Колко дълго го пазим, е описано в раздел Съхранение и изтриване.

Не съществува официален „сертификат за GDPR“ и ние не твърдим, че имаме такъв. Но прилагаме принципите на Общия регламент относно защитата на данните (GDPR): събираме възможно най-малко данни, определяме срок за всичко, което пазим, и обясняваме къде се обработва всеки файл. Правата ви включват:

• Изтриване: изтрийте профила си сами от страницата „Моят профил“.
• Коригиране: променете името и езика си на страницата „Моят профил“; за всичко останало ни пишете по имейл.
• Достъп и преносимост: поискайте копие от данните в профила си на [email protected].

Прилагаме практики от насоките на OWASP за сигурност на уеб приложенията, включително:

• Политика за сигурност на съдържанието (CSP): скриптовете и връзките са ограничени до нашия домейн, а сайтът не може да бъде вграждан в други сайтове.
• Защита от SSRF: „HTML в PDF“ и „HTML в изображение“ приемат само публични http и https линкове, а ние проверяваме IP адреса при всяка връзка и всяко пренасочване, така че никоя заявка да не може да достигне до вътрешната ни мрежа.
• Изолирано изобразяване: браузърът, който изобразява уеб страниците, няма пряк достъп до интернет; всяка негова заявка минава през същата проверка, а скриптовете в качените HTML файлове са изключени по подразбиране. Макросите в офис файловете никога не се изпълняват, а всяко конвертиране се извършва в отделен процес с ограничение на времето и на обема, който може да запише.

В Ирак действа Законът за електронния подпис и електронните сделки № 78 от 2012 г. Подписите в Safha са обикновени електронни подписи: пазим одитна следа с времето на всяка стъпка и SHA-256 отпечатък на оригиналния и на окончателния документ. Те не са подписи, удостоверени от доставчик на удостоверителни услуги, и не даваме правни съвети относно валидността им. Ако документът ви изисква подпис с определена правна сила, консултирайте се с юрист.

• ISO/IEC 27001: изграждаме система за управление на информационната сигурност по този стандарт преди независима оценка.
• Независим тест за проникване от външна фирма.
• Двуфакторно удостоверяване за администраторските профили.
• Криптиране в покой на файловете от поканите за подписване.

Safha работи на сървър, нает от Contabo GmbH, чийто диапазон от адреси е регистриран в Германия според регистъра на RIPE NCC. Всяка услуга работи в собствен Docker контейнер, управляван с Coolify: уеб приложението на сайта, услугата за конвертиране и база данни PostgreSQL.

Трафикът на сайта минава през мрежата на Cloudflare, чиято услуга включва автоматична защита от разпределени атаки за отказ на услуга (DDoS). В самия сървър базата данни се намира във вътрешна мрежа, откъсната от интернет, а услугата за конвертиране не приема връзки отвън: само уеб приложението на сайта може да се свърже с нея, и то със споделен таен токен.

• Целият сайт работи през HTTPS, а HTTP заявките се пренасочват към HTTPS.
• Връзките поддържат TLS 1.3.
• Изпращаме HSTS заглавка за две години (max-age=63072000; includeSubDomains), така че браузърът ви да отваря сайта само по криптирана връзка.
• Връзката между Cloudflare и нашия сървър също е криптирана, с валиден TLS сертификат.

Пазим малко неща на сървъра: профили, работни потоци, запазени CV и статистика в базата данни, както и файловете от поканите за подписване на диска на сървъра. Паролите и токените на линковете за подписване се съхраняват само като хешове (bcrypt и SHA-256). За яснота: днес не криптираме в покой базата данни или файловете от поканите за подписване със собствен ключ; те са защитени чрез мрежова изолация и права за достъп на сървъра.

Safha има само две роли: потребител и администратор. Администраторското табло се отваря само за профил с роля на администратор, а ние проверяваме тази роля на сървъра два пъти: при достъпа до таблото и след това при всяка страница и всяко действие в него. Промяната на ролята на даден профил или спирането му прекратява незабавно сесиите му.

• Услугата за конвертиране работи като потребител без root права върху файлова система само за четене и записва единствено във временна папка в паметта.
• Тя прочита тайните си веднъж при стартиране и след това се отказва от root правата; тези тайни никога не достигат до процесите на конвертиране.
• Ключът за Anthropic се намира само в услугата за конвертиране; той никога не достига до уеб приложението на сайта или до браузъра.
• Паролата за базата данни и ключът за подписване на сесиите се генерират от платформата за внедряване; никой не ги въвежда ръчно.

В момента не предлагаме двуфакторно удостоверяване за администраторските профили и няма да твърдим, че го предлагаме. Докато не го добавим, първата администраторска парола се генерира на случаен принцип от платформата за внедряване, а опитите за влизане са ограничени както за всеки профил.

Действията, които достигат до устройствата на потребителите, например изпращане на известия и публикуване на версии на приложението, се записват заедно със самоличността на администратора и часа.