Доступ и данные
Пароли хранятся в виде хешей Argon2id, сессии — в базе с хранением SHA-256 токена и ограниченным сроком жизни. Для чувствительных действий используется CSRF-защита.
Безопасность
Безопасность и раскрытие уязвимостей
Мы отвечаем за данные пользователей портала и лицензии на ПО. Если вы обнаружили уязвимость, сообщите нам — мы разберёмся и поблагодарим за помощь.
Как сообщить об уязвимости
Напишите на info@trastian.tech с темой «Security report». В письме укажите:
- адрес страницы или эндпоинта, где проявляется проблема;
- шаги для воспроизведения и ожидаемое поведение;
- возможные последствия для данных и пользователей;
- ваши контакты для ответа.
Пожалуйста, не публикуйте детали уязвимости до того, как мы устраним проблему, и не проверяйте её на данных других пользователей. Машинно-читаемый контакт опубликован в security.txt.
Правила ответственного раскрытия
- Не наносите вреда работе портала: избегайте нагрузочных атак, DoS и нарушения доступности.
- Не получайте и не сохраняйте персональные данные других пользователей.
- Не используйте автоматические сканеры, создающие значительную нагрузку.
- Дайте нам разумное время на устранение до раскрытия информации — обычно мы подтверждаем получение в течение нескольких рабочих дней.
- Вознаграждение за найденные уязвимости не предусмотрено.
Меры защиты портала
Транспорт и браузер
Портал работают по HTTPS, применяются строгие заголовки безопасности и Content Security Policy без внешних CDN и сторонних скриптов.
Лицензии
Лицензионные токены подписываются Ed25519; ключи активации хранятся в виде хешей и показываются только владельцу при выдаче.
Журналирование
Действия с аккаунтом, заявками и лицензиями фиксируются в журнале аудита; персональные данные и секреты в журналы не пишутся.
Область действия политики
Политика распространяется на сайт, личный кабинет, API лицензирования и системные компоненты портала. Сторонние сервисы (например, внешние сайты по ссылкам) не входят в область действия.
Сведения о сертификатах и аттестациях не публикуются до подтверждения.
Нашли проблему?
Сообщите нам — отнесёмся внимательно и не будем использовать факт обращения против исследователя.