Безопасность: что соответствует действительности
Здесь только то, что реально есть в продукте и инфраструктуре. Во второй половине страницы — чего у нас нет. Если утверждения здесь нет, считайте, что оно неверно.
Что встроено в продукт
Везде HTTPS
Приложение работает по HTTPS и отправляет заголовок HSTS. Этот маркетинговый сайт статичен и не устанавливает cookie.
Подписанные webhook
Оповещения webhook содержат X-Tenium-Signature: t=<unix time>,v1=<hex> — HMAC-SHA256 от метки времени и сырого тела запроса с вашим секретом. Проверяйте подпись и отклоняйте старые метки времени, см. документацию о webhook.
Опубликованные IP проверок
Проверки идут с адресов на странице IP проверок, их также можно получить в формате JSON, так что их легко разрешить в файрволе или WAF. Запросы помечены как Tenium-Monitor/1.0.
Защита входа
Пароли хранятся как хеши bcrypt. Пять неудачных попыток входа блокируют аккаунт на 15 минут, каждая следующая блокировка удваивает время. Сообщения об ошибке не раскрывают, существует ли аккаунт.
Защита от подделки запросов
Запросы, меняющие данные, с чужим Origin отклоняются. Исключения — подписанные машинные эндпоинты, например платёжные обратные вызовы.
Защитные заголовки
Ответы содержат HSTS, X-Content-Type-Options, запрет фреймов, строгий referrer policy и закрытую permissions policy. Полная Content-Security-Policy работает в режиме report-only, пока мы следим за нарушениями. Принудительно она пока не действует.
Как ограничен доступ нашего персонала
Админ-консоль видит аккаунты, возвращает деньги и открывает вид клиента. Она защищена слоями, каждый из которых работает отдельно.
Двухфакторный вход обязателен
Каждому администратору нужен код TOTP (RFC 6238). Секрет хранится зашифрованным AES-256-GCM, использованный код нельзя повторить, а коды восстановления хранятся только как хеши.
Свежее подтверждение для рискованных действий
Возвраты, смена тарифа, добавление администраторов и запись в виде клиента требуют свежего пароля и кода за последние 10 минут.
Просмотр аккаунта только для чтения
Просмотр вашего аккаунта поддержкой по умолчанию только для чтения, заканчивается через 30 минут, показывает постоянный красный баннер и записывается в журнал аудита.
Журнал аудита только для добавления
Ни одна страница или действие приложения не изменяет и не удаляет записи аудита.
Чего у нас нет
SOC 2 и ISO 27001
У нас нет отчёта SOC 2 и сертификата ISO 27001.
Двухфакторный вход для клиентов
Он есть только для нашего персонала. Владельцы аккаунтов смогут требовать его от участников позже, см. дорожную карту.
Единый вход
SAML и OIDC не созданы. Клиенты входят по e-mail и паролю или через Google и GitHub.
Независимый тест на проникновение
У нас нет отчёта внешнего теста на проникновение, который можно показать.
Ваши данные
- Данные аккаунтов хранятся на серверах в ЕС. Проверки также выполняются из регионов вне ЕС, и через них проходят только адрес цели и результат. Подробности в политике конфиденциальности, которая пока остаётся черновиком.
- Журналы серверов с IP-адресом и user agent хранятся 30 дней. История проверок хранится от 90 до 730 дней в зависимости от тарифа.
- Мы храним результаты проверок, а не содержимое страниц: фрагмент ответа остаётся, только когда проверка не прошла.
- Мы не продаём данные и не используем их для рекламы. Приложение устанавливает один сессионный cookie, чтобы вы оставались в системе.
Сообщить об уязвимости
Напишите на адрес безопасности со страницы контактов и опишите, что вы нашли и как это воспроизвести. Мы обычно отвечаем в течение одного рабочего дня. Пожалуйста, дайте нам разумное время на исправление, прежде чем публиковать.
Вопросы о безопасности
Есть ли у Tenium сертификат SOC 2?
Нет. У нас нет отчёта SOC 2 и сертификата ISO 27001. Эта страница описывает то, что построено вместо этого.
Как проверить подпись webhook?
Прочитайте заголовок X-Tenium-Signature, разделите его на t и v1, вычислите HMAC-SHA256 от строки «t, точка, сырое тело» с вашим секретом и сравните с v1. Отклоняйте запросы с меткой времени старше нескольких минут. В документации о webhook есть пример на Node.
С каких IP-адресов идут проверки?
С адресов на странице IP проверок, по регионам, также в виде JSON. Разрешите их в файрволе или WAF.
Можно ли включить двухфакторную аутентификацию для моего аккаунта?
Пока нет. Двухфакторный вход обязателен для наших администраторов, а для клиентских аккаунтов его нет. Он запланирован.
Где хранятся мои данные?
Данные аккаунтов хранятся на серверах в ЕС. Проверки выполняются из нескольких регионов, в том числе вне ЕС, и через них проходят только адрес цели и результат.
Начните мониторинг за две минуты
30 мониторов бесплатно, без ограничения по времени. Без банковской карты. Переходите с UptimeRobot? Импортируйте мониторы одним кликом по ключу API только для чтения.