Пароли не хранятся в открытом виде
Пароль превращается в необратимый хэш bcrypt (cost 12) с индивидуальной солью. Старые хэши автоматически пересчитываются при входе. Восстановить исходный пароль из базы нельзя.
Безопасность и защита данных
Как мы защищаем аккаунты, переписки и платежи
Здесь только то, что можно проверить: настройки шифрования, способ хранения паролей, резервное копирование и порядок сообщения об уязвимостях. Мы не публикуем маркетинговые проценты защиты и аптайма.
Защита на уровне инфраструктуры
Платформа работает на собственном сервере в российском облаке. Ниже — реальные механизмы, которые включены в продакшене, а не запланированные.
Статус API
Проверка из вашего браузера, не публичный аптайм
Проверка ещё не выполнялась
Если API не отвечает, напишите в Telegram или на s89624027661@yandex.ru.
Сессия в защищённой cookie
После входа браузер получает подписанный JWT в httpOnly-cookie с SameSite=Lax: JavaScript страницы не может его прочитать. Срок действия — 7 дней, выход завершает сессию.
Ограничение частоты запросов
API ограничивает число запросов с одного адреса, вход — 10 попыток за 5 минут. На сервере дополнительно работает fail2ban: перебор паролей и флуд блокируются автоматически.
Шифрование канала
Сайт и API работают только по HTTPS (TLS 1.2/1.3), включён HSTS с preload. Настроены CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy и Permissions-Policy.
Резервные копии и проверка восстановления
Дампы базы снимаются каждые 30 минут и передаются на резервный сервер в РФ. Перед восстановлением проверяется целостность архива и то, что копия не беднее текущей базы.
Данные хранятся в России
Серверы и резервные копии — в облаке REG.RU на территории РФ. Обработка персональных данных — по 152-ФЗ; подробности в политике конфиденциальности.
Как сообщить об уязвимости
Мы приветствуем добросовестный поиск проблем безопасности. Напишите на почту или в Telegram, указав «Безопасность» в теме. Контакты и срок действия — в файле security.txt.
- Опишите уязвимость и шаги воспроизведения, приложите затронутый URL и, если можно, скриншот.
- Не выгружайте персональные данные третьих лиц и не изменяйте чужие данные. Если доступ к данным всё же получен — остановитесь и сообщите нам.
- Не проводите тесты, которые ломают работу сервиса: DoS, спам, массовые регистрации, социальная инженерия сотрудников.
- Дайте нам разумное время на исправление до публичного раскрытия. Мы не преследуем исследователей за добросовестный поиск уязвимостей.
Куда писать
Отвечаем, как только разберёмся с обращением, — обычно в течение нескольких рабочих дней. Публичного bug bounty нет.
Доступность и инциденты
Внутренний мониторинг опрашивает API каждую минуту, собирает метрики очереди, базы данных, диска и процессора и отправляет алерты администратору при выходе за пороги.
Публичной статус-страницы с независимым аптаймом пока нет — мы не хотим показывать цифру, которую не можем подтвердить. Проверка API выше показывает состояние на момент открытия страницы.
О плановых работах предупреждаем в Telegram. При инциденте, затрагивающем персональные данные, действуем по 152-ФЗ и уведомляем затронутых пользователей и регулятора в установленные сроки.
Чего мы не делаем
- Не продаём персональные данные и переписки третьим лицам.
- Не публикуем переписки пользователей и не показываем их другим клиентам.
- Не храним данные банковских карт — их обрабатывает ЮKassa.
- Не обещаем «100% защиту»: любая система может быть взломана, поэтому важны резервные копии и план восстановления.
Частые вопросы
Где хранятся данные платформы?
Основной сервер и резервный сервер находятся в облаке REG.RU на территории России. Резервные копии базы передаются на резервный сервер там же. За пределы РФ персональные данные не передаются.
Кто видит переписки с моим ботом?
Владелец бота видит переписки своих ботов в личном кабинете. Администратор платформы обращается к ним только для поддержки и разбора инцидентов. Для генерации ответов текст сообщения передаётся поставщику ИИ-модели — это описано в политике конфиденциальности.
Хранит ли платформа данные банковских карт?
Нет. Оплата проходит на стороне ЮKassa: платформа перенаправляет вас на защищённую страницу оплаты и не получает и не хранит номер карты, срок действия и CVV.
Есть ли публичная статус-страница с аптаймом?
Пока нет: мы не публикуем процент доступности, который не можем подтвердить независимым сервисом. На этой странице есть проверка API в реальном времени, а о плановых работах мы предупреждаем в Telegram. Внутри платформы мониторинг проверяет API каждую минуту и отправляет алерты администратору.
Что делать, если я подозреваю взлом аккаунта?
Смените пароль в профиле (старая сессия станет недействительной после повторного входа) и напишите нам на почту или в Telegram. Укажите email аккаунта и время, когда заметили подозрительную активность.
Подробнее об обработке данных — в политике конфиденциальности и юридической информации.