Безпека: що відповідає дійсності
Тут лише те, що справді є в продукті та інфраструктурі. У другій половині сторінки — чого в нас немає. Якщо твердження тут не згадане, вважайте, що воно неправдиве.
Що вбудовано в продукт
Скрізь HTTPS
Застосунок працює через HTTPS і надсилає заголовок HSTS. Цей маркетинговий сайт статичний і не встановлює cookie.
Підписані webhook
Сповіщення webhook містять X-Tenium-Signature: t=<unix time>,v1=<hex> — HMAC-SHA256 від позначки часу й сирого тіла запиту з вашим секретом. Перевіряйте підпис і відхиляйте старі позначки часу, див. документацію про webhook.
Опубліковані IP перевірок
Перевірки йдуть з адрес на сторінці IP перевірок, їх також можна отримати у форматі JSON, тож їх легко дозволити у фаєрволі чи WAF. Запити позначені як Tenium-Monitor/1.0.
Захист входу
Паролі зберігаються як хеші bcrypt. П’ять невдалих спроб входу блокують акаунт на 15 хвилин, кожне наступне блокування подвоює час. Повідомлення про помилку не розкривають, чи існує акаунт.
Захист від підроблених запитів
Запити, що змінюють дані, із чужим Origin відхиляються. Винятки — підписані машинні ендпоінти, як-от платіжні зворотні виклики.
Захисні заголовки
Відповіді містять HSTS, X-Content-Type-Options, заборону фреймів, суворий referrer policy і закриту permissions policy. Повна Content-Security-Policy працює в режимі report-only, поки ми стежимо за порушеннями. Примусово вона ще не діє.
Як обмежено доступ нашого персоналу
Адмін-консоль бачить акаунти, повертає кошти й відкриває вигляд клієнта. Вона захищена шарами, кожен з яких працює окремо.
Двофакторний вхід обов’язковий
Кожному адміністратору потрібен код TOTP (RFC 6238). Секрет зберігається зашифрованим AES-256-GCM, використаний код не можна повторити, а коди відновлення зберігаються лише як хеші.
Свіже підтвердження для ризикових дій
Повернення коштів, зміна тарифу, додавання адміністраторів і запис у вигляді клієнта потребують свіжого пароля й коду за останні 10 хвилин.
Перегляд акаунта лише для читання
Перегляд вашого акаунта службою підтримки за замовчуванням лише для читання, завершується через 30 хвилин, показує постійний червоний банер і записується в журнал аудиту.
Журнал аудиту лише для додавання
Жодна сторінка чи дія застосунку не змінює й не видаляє записи аудиту.
Чого в нас немає
SOC 2 та ISO 27001
У нас немає звіту SOC 2 і сертифіката ISO 27001.
Двофакторний вхід для клієнтів
Він є лише для нашого персоналу. Власники акаунтів зможуть вимагати його від учасників пізніше, див. дорожню карту.
Єдиний вхід
SAML і OIDC не створено. Клієнти входять за e-mail і паролем або через Google і GitHub.
Незалежний тест на проникнення
У нас немає звіту зовнішнього тесту на проникнення, який можна показати.
Ваші дані
- Дані акаунтів зберігаються на серверах у ЄС. Перевірки також виконуються з регіонів поза ЄС, і через них проходять лише адреса цілі та результат. Подробиці в політиці конфіденційності, яка поки що є чернеткою.
- Журнали серверів з IP-адресою й user agent зберігаються 30 днів. Історія перевірок зберігається від 90 до 730 днів залежно від тарифу.
- Ми зберігаємо результати перевірок, а не вміст сторінок: фрагмент відповіді лишається, лише коли перевірка не пройшла.
- Ми не продаємо дані й не використовуємо їх для реклами. Застосунок встановлює один сесійний cookie, щоб ви лишалися у системі.
Повідомити про вразливість
Напишіть на адресу безпеки зі сторінки контактів і опишіть, що ви знайшли та як це відтворити. Ми зазвичай відповідаємо протягом одного робочого дня. Будь ласка, дайте нам розумний час на виправлення, перш ніж публікувати.
Запитання про безпеку
Чи має Tenium сертифікат SOC 2?
Ні. У нас немає звіту SOC 2 і сертифіката ISO 27001. Ця сторінка описує те, що збудовано натомість.
Як перевірити підпис webhook?
Прочитайте заголовок X-Tenium-Signature, розділіть його на t і v1, обчисліть HMAC-SHA256 від рядка «t, крапка, сире тіло» з вашим секретом і порівняйте з v1. Відхиляйте запити зі старішою за кілька хвилин позначкою часу. У документації про webhook є приклад на Node.
З яких IP-адрес ідуть перевірки?
З адрес на сторінці IP перевірок, по регіонах, також у вигляді JSON. Дозвольте їх у фаєрволі чи WAF.
Чи можна ввімкнути двофакторну автентифікацію для мого акаунта?
Поки що ні. Двофакторний вхід обов’язковий для наших адміністраторів, а для клієнтських акаунтів його немає. Він запланований.
Де зберігаються мої дані?
Дані акаунтів зберігаються на серверах у ЄС. Перевірки виконуються з кількох регіонів, зокрема поза ЄС, і через них проходять лише адреса цілі та результат.
Почніть моніторинг за дві хвилини
30 моніторів безкоштовно, без обмеження в часі. Без банківської картки. Переходите з UptimeRobot? Імпортуйте монітори одним кліком за ключем API лише для читання.