Bezpieczeństwo

Każde konto zaczyna się od zweryfikowanego adresu e-mail: rejestracja wysyła link aktywacyjny i nic nie działa, dopóki nie zostanie kliknięty. Hasła nigdy nie są przechowywane w czytelnej postaci, wyłącznie jako solone, jednokierunkowe skróty. Logowanie przez Google jest opcjonalne i łączy się z tym samym kontem po adresie e-mail.

Uwierzytelnianie dwuskładnikowe ma trzy niezależne formy: aplikację uwierzytelniającą, sprzętowy klucz bezpieczeństwa i passkey. Można włączyć je razem, a utrata jednej nie blokuje pozostałych. Dostęp administracyjny po naszej stronie zawsze wymaga drugiego składnika.

Ustawienia > Sesje pokazują każde zalogowane urządzenie z ostatnią aktywnością; każdą sesję można unieważnić z dowolnego innego urządzenia. Logowanie, reset hasła i rejestracja mają limity na adres i są chronione przed zautomatyzowanymi nadużyciami.

Aplikacja i jej baza danych działają w Unii Europejskiej (Warszawa); poczta transakcyjna i alerty wychodzą przez centrum danych w UE; ruch kończy się w Cloudflare wyłącznie po TLS, a domena .app jest na liście HSTS preload, więc przeglądarki nigdy nie próbują zwykłego HTTP.

Sekrety kanałów powiadomień (adresy webhooków, tokeny botów, klucze routingu) są szyfrowane w spoczynku i nigdy nie wracają z API w całości: są skracane i widoczne tylko dla właścicieli organizacji. Dane monitoringu należą do jednej organizacji; każda trasa API jest sklasyfikowana, a granica między organizacjami jest objęta testami automatycznymi.

Wszystko, co usługa przechowuje o Twojej organizacji, możesz pobrać jako ZIP w Ustawienia > Konto, opuścić organizację lub samodzielnie usunąć konto. Historia audytu przetrwa usunięcie w formie zanonimizowanej, na co RODO pozwala ze względu na rozliczalność.

Każda odpowiedź niesie politykę bezpieczeństwa treści i zwykłe zabezpieczenia przeglądarkowe przed osadzaniem w ramkach, wyciekami między domenami i ujawnianiem adresu odsyłającego. Żądania wykonywane w Twoim imieniu (webhooki, same sprawdzenia) przechodzą przez ochronę odrzucającą adresy prywatne i wewnętrzne. Każdy publiczny punkt końcowy ma limit na adres; wrogie dane wejściowe są odrzucane, zanim dotrą do aplikacji.

Program testów bezpieczeństwa uruchamiamy na żądanie: każda trasa API jest w macierzy i sprawdzana anonimowo, jako członek, właściciel i personel; wrogie ładunki trafiają w każdą trasę zapisu; zestaw jest zmapowany na OWASP Top 10 i OWASP API Top 10 i uzupełniony automatycznym skanerem oraz testem w przeglądarce. Ustalenia dostają numer, wagę i decyzję, nigdy cichą poprawkę.

Zależności i środowisko uruchomieniowe są utrzymywane na bieżąco w regularnych rundach łatek, a każda runda jest odnotowana w rejestrze ustaleń.

Sprawdzenia wykonuje nasz serwer w Polsce, a potwierdzają je niezależne regiony monitorujące w Europie, Ameryce Północnej, Azji i Oceanii. Każdy region uruchamia mały agent, którego wydania są podpisane kryptograficznie, więc region odrzuca niepodpisaną aktualizację; każdy region uwierzytelnia się wobec centrali własnym poświadczeniem powiązanym z jego adresem.

Region poznaje wyłącznie adres URL, który ma sprawdzić, i raportuje wynik; nie ma danych kont, poświadczeń ani sekretów powiadomień.

Usługę prowadzi jedna osoba, co oznacza krótkie ścieżki: zmiany produkcyjne wychodzą jako przejrzane, przetestowane commity, sekrety żyją poza kodem, a logi są rotowane i trzymane tylko krótko.

Własny status publikujemy pod /status, a każdą liczbę dostępności tłumaczymy na stronie metodologii: to, co obiecujemy mierzyć Tobie, mierzymy też sobie.

Jeśli uważasz, że znalazłeś problem bezpieczeństwa w Web Watch Tower, powiedz nam o tym, zanim powiesz komukolwiek innemu. Napisz na adres z naszego security.txt lub użyj formularza kontaktowego i opisz, co znalazłeś, gdzie i jak to odtworzyć; dowód koncepcji pomaga, działający exploit nie jest potrzebny.

Czytamy każde zgłoszenie, potwierdzamy odbiór, informujemy o postępach, a jeśli chcesz, wymieniamy Cię po rozwiązaniu problemu. Prosimy o rozsądny czas na poprawkę przed jakąkolwiek publikacją. Nie prowadzimy płatnego programu bug bounty.

Zasady badań w dobrej wierze: bez ataków odmowy usługi i testów wolumenowych, bez dostępu do cudzych danych ponad minimum potrzebne do pokazania problemu, bez socjotechniki wobec naszych użytkowników i personelu, bez zmian w cudzych monitorach. Badania zgodne z tymi zasadami nie spotkają się z krokami prawnymi.