Безопасность
Что уже сделано и что ещё нет.
Мы работаем с финансовыми данными, поэтому не приписываем себе меры, которых у нас нет. Слева — то, что работает в продукте сегодня; в середине — то, что в разработке, и мы это называем прямо.
Работает сегодня
- TLS при передаче и шифрование на диске на управляемой инфраструктуре
- Пароли хешируются bcrypt (cost 12), в открытом виде не хранятся
- Заголовки Content-Security-Policy, X-Frame-Options и Permissions-Policy на каждом ответе
- Ограничение частоты запросов к API и шифрование сессий
- Каждый запрос ограничен вашим рабочим пространством
В разработке
- Единый вход (SSO) и SAML для командных аккаунтов
- Неизменяемые журналы аудита
- Готовый отчёт SOC 2 Type II
- Внешние тесты на проникновение
- Хранение данных в выбранном регионе
Как мы обращаемся с данными
- Мы не запрашиваем доступ к банку: вы загружаете выписку или вносите цифры сами
- Не храним номера карт и не перемещаем деньги — к вашим средствам доступа нет
- Налоги и сроки — это оценка для планирования кассы, а не поданная отчётность
- Выгрузить или удалить свои данные можно в любой момент
- Об уязвимости пишите на derbistimur@gmail.com — мы ответим