Sikkerhet og tillit

Sikkerhetskontroller, uten tomprat.

Denne siden beskriver kontrollene som er implementert i Itemra i dag. Den er et teknisk sammendrag, ikke en sertifisering, avtalefestet garanti eller erstatning for en sikkerhetsgjennomgang hos kunden.

Implementert nå

Kontroller som er synlige i applikasjons- og distribusjonskoden.

Identitet

WorkOS-autentisering og serveradministrerte økter

Itemra bruker WorkOS for identitetsflyter. Øktinformasjonskapsler er HttpOnly og SameSite=Lax, og Secure håndheves i driftsmiljøer. API-et kontrollerer den innloggede identiteten på nytt mot en aktiv serverøkt ved forespørsler.

Forespørsler

CSRF-beskyttelse ved skriving fra nettleseren

Beskyttede nettleseroperasjoner kontrollerer et par bestående av en antiforgery-informasjonskapsel og X-CSRF-TOKEN-header før forespørselen når applikasjonslogikken.

Leietakere

Leietakeravgrensning, RBAC og revisjonshendelser

Applikasjonslogikken fastsetter leietaker- og aktørkontekst avgrenset til organisasjonen. Tillatelseskontroller håndhever innebygde og egendefinerte roller, mens sikkerhetsrelevante endringer og driftsendringer oppretter revisjonshendelser avgrenset til leietakeren.

API

HMAC-avledet verifisering av API-nøkler

Kundenes API-nøkler genereres fra kryptografisk tilfeldige byte. Itemra lagrer en HMAC-SHA-256-avledet verdi i stedet for den utstedte hemmeligheten og sammenligner verifiseringsresultatene i konstant tid.

Filer

Private blob-er og avgrensede tilgangstillatelser

Vedleggslagringen oppretter blob-containere uten offentlig tilgang. Opplastings- og nedlastingstillatelser er kortvarige SAS-nettadresser for én enkelt blob, med strengt atskilte skrive- eller lesetillatelser.

Kjøremiljø

Beskyttede rammeverksnøkler og containere uten root-bruker

ASP.NET Core Data Protection bruker et Itemra-spesifikt applikasjonsnavn og støtter delt, varig nøkkellagring i privat blob-lagring når dette er konfigurert. Containere for API, offentlig API, bakgrunnsprosesser og markedsføringssiden i produksjon kjører som brukere uten root-tilgang.

Revisjonsdokumentasjon

Spor etter manipulering, med tydelige avgrensninger.

Vanlige produktoperasjoner legger bare til revisjonshendelser og endrer eller sletter ikke enkelthendelser. Den dedikerte oppbevaringsprosessen sletter hendelser først etter den konfigurerte oppbevaringsgrensen. SQL Server, rutiner for sikkerhetskopiering og tilgangskontroller beskytter de underliggende oppføringene.
En revisjonseksport er dokumentasjon på et bestemt tidspunkt for valgt omfang og periode. Kundekonfigurert oppbevaring bestemmer hvor lenge revisjonshendelser er tilgjengelige.
Itemra hevder foreløpig ikke å ha en kryptografisk hash-kjede, en WORM-lagringsgaranti eller uavhengig verifiserbar manipulasjonssikring.

Kunstig intelligens og kundedata

Ingen dataflyt til eksterne store språkmodeller

Dagens Itemra-produkt integrerer ikke en ekstern stor språkmodell og sender ikke kundenes lager- eller driftsdata til en ekstern stor språkmodell.

Planlagt produksjonstopologi

Produksjon er ikke aktivert

Den planlagte topologien plasserer nett- og applikasjonstjenester på Coruscant og SQL Server på Dagobah. Dette er en plan, ikke en erklæring om at produksjonsdrift, nettverkskontroller, sikkerhetskopiering eller ekstern tilgjengelighet er aktivert eller uavhengig verifisert.

Avgrensning av garantier

Påstander vi ikke fremsetter.

Disse uttalelsene holder dokumentasjon på implementeringen atskilt fra fremtidig driftsmessig eller tredjeparts verifikasjonsarbeid.

Vi hevder ikke å ha SOC 2- eller ISO-sertifisering.
Vi lover ingen datalagringsregion, heller ikke lagring utelukkende i EØS.
Vi publiserer ingen generell garanti om kryptering ved lagring eller under overføring her.
Vi publiserer ingen garanti for sikkerhetskopiering, gjenopprettingsmål, RPO eller RTO.
Vi publiserer ingen oppetidsprosent eller avtalefestet SLA.
Vi hevder ikke at MFA håndheves for alle kontoer.
Vi hevder ikke å ha resultater fra en uavhengig penetrasjonstest.

Sikkerhetsgjennomgang

Trenger du å gjennomgå en bestemt kontroll?

Kontakt oss for en teknisk gjennomgang. Våre offentlige retningslinjer er fortsatt kilden til juridiske vilkår og personvernerklæringer.

hello@itemra.io Personvernerklæring Tjenestevilkår