Bezpieczeństwo w VulCode: jak chronimy kod, dostępy i dane klientów
Zamiast ogólników: gdzie leży Twój kod, jak zabezpieczony jest panel klienta, co zbiera nasza strona i co dostajesz przy przekazaniu projektu.
Droga kodu od pierwszej zmiany do Twojego serwera
Kod nie trafia na produkcję prosto z czyjegoś komputera. Każda zmiana przechodzi tę samą drogę.
Prywatne repozytorium
Kod projektu żyje w prywatnym repozytorium Git, nie w plikach przesyłanych mailem.
Przegląd zmiany
Każda zmiana przechodzi przegląd, zanim trafi do projektu.
Wersja testowa
Najpierw działa na środowisku testowym, które widzisz w panelu klienta.
Wdrożenie
Na serwer trafia wersja, którą sprawdziłeś, z certyfikatem HTTPS.
Przekazanie
Po zapłacie dostajesz repozytorium albo archiwum z kodem i dokumentacją.
Panel klienta pod lupą
To jest zapisane w kodzie panelu, nie w deklaracji. Jeśli coś się zmieni, zmieni się też ta lista.
- HasłaPrzechowywane wyłącznie jako skróty bcrypt. Minimalna długość to 8 znaków.
- Reset hasłaLink ważny godzinę. Formularz nie zdradza, czy konto z danym adresem istnieje.
- LogowanieDo 30 nieudanych prób w 15 minut z jednego adresu, potem blokada. Rejestracja do 5 kont na godzinę z jednego adresu.
- Logowanie przez DiscordMożesz zalogować się kontem Discord zamiast hasłem.
- SesjeSesja wygasa po 7 dniach. Zmiana hasła i przycisk "Wyloguj ze wszystkich urządzeń" kończą wszystkie pozostałe sesje.
- Historia logowańOstatnie logowania widzisz w osobnej zakładce panelu. Wylogowanie wszędzie jej nie kasuje, żeby ślad został.
- Zmiana e-mailaWymaga obecnego hasła i potwierdzenia z nowej skrzynki, link jest ważny godzinę.
Jak bezpiecznie przekazać nam dostępy
Przy każdym projekcie potrzebujemy jakichś dostępów. Tak zrobisz to bez ryzyka dla siebie.
- HostingJakosobne konto dla VulCodeZakreswdrożenie strony, bez Twojej pocztyPo zakończeniuusuwasz konto
- Panel sklepuJakosobne konto dla VulCodeZakrestreści, bez dostępu do płatnościPo zakończeniuusuwasz konto
- SerwerJakklucz SSH VulCode zamiast hasłaZakreswdrożenie projektuPo zakończeniuusuwasz jedną linijkę z kluczem
- Panel domenyJakhasło w zgłoszeniu w panelu, osobno od loginuZakresrekordy domeny projektuPo zakończeniuzmieniasz hasło
- Osobne konto zamiast Twojego hasłaJeśli hosting, sklep albo panel domeny pozwala dodać użytkownika, załóż nam osobne konto. Po zakończeniu prac po prostu je usuniesz.
- Tylko potrzebne uprawnieniaDo zmian w treści nie potrzebujemy dostępu do płatności, a do wdrożenia strony nie potrzebujemy Twojej poczty.
- Hasła poza zwykłą wiadomościąNie wysyłaj haseł w tej samej wiadomości co login. Przy projekcie możesz przekazać je przez zgłoszenie w panelu klienta.
- Klucz zamiast hasła do serweraDo serwera najlepiej dodać nasz klucz SSH. Usunięcie jednej linijki odcina dostęp bez zmiany haseł innym osobom.
- Zmiana haseł po przekazaniuPo zakończeniu projektu zmień hasła, które nam podałeś. To zwykła higiena, a nie brak zaufania.
- Lista dostępów w jednym miejscuZapisz, komu i do czego dałeś dostęp. Przy przekazaniu projektu łatwo wtedy sprawdzić, co zamknąć.
Co zbiera vulcode.com i jak długo to trzyma
Według polityki prywatności, punkt 7. Dotyczy naszej strony, nie projektów, które budujemy dla Ciebie. Strona, która sprzedaje bezpieczeństwo, sama nie powinna zbierać więcej, niż potrzebuje.
- Wiadomość z formularza kontaktowegoOdpowiedź na Twoje pytanie albo wycenaDo 12 miesięcy od ostatniego kontaktu
- Dane klienta przy zleceniuWykonanie umowy i rozliczeniaCzas umowy i 5 lat po jej zakończeniu
- Adres zapisany na newsletterWysyłka newslettera za Twoją zgodąDo rezygnacji z subskrypcji
- Dane analityczneStatystyki odwiedzin, bez profilowaniaDo 24 miesięcy
Długość paska to okres z polityki prywatności, pkt 7, liczony od chwili, od której ten okres płynie.
- Bez plików cookieStrona nie ustawia ani jednego pliku cookie; to, co zapisuje w przeglądarce, wypisuje polityka cookies.
- Własna analitykaBez Google Analytics; statystyki liczy nasz system, a adresy IP są w nim anonimizowane.
- Turnstile przy formularzuCloudflare Turnstile sprawdza tylko, czy pisze człowiek, i nie służy do śledzenia ani profilowania.
Co dostajesz przy przekazaniu projektu
Projekt ma dać się przejąć przez kogoś innego bez dzwonienia do nas. Tak wygląda przekazanie. Gwarancja naprawia nasze błędy. Aktualizacje i opiekę nad serwerem obejmuje osobna umowa utrzymaniowa.
- Kod źródłowyPrywatne repozytorium Git albo archiwum, bez blokad licencyjnych i bez wiązania z naszą infrastrukturą, jeśli nie jest częścią oferty.
- Prawa majątkowePełne prawa do kodu i grafik zrobionych dla Ciebie przechodzą na Ciebie po zapłacie (regulamin, pkt 6.1).
- DokumentacjaOpis tego, jak projekt uruchomić, wdrożyć i rozwijać, żeby mógł go przejąć inny wykonawca.
- DostępyDostępy do tego, co składa się na projekt, na przykład domeny, hostingu i usług zewnętrznych.
- Licencje bibliotekBiblioteki open source zostają na swoich licencjach, które są częścią projektu (pkt 6.3).
- Kiedy
- Po odbiorze końcowym i zapłacie całości
- Podstawa
- Regulamin, pkt 6.1 i 6.3
- Kod źródłowyrepozytorium Git albo archiwum
- Prawa majątkoweprzechodzą na Ciebie po zapłacie
- Dokumentacjauruchomienie, wdrożenie i rozwój
- Dostępydomena, hosting, usługi zewnętrzne
- Licencje bibliotekopen source na własnych licencjach
Kolejność kroków od pierwszej wiadomości do przekazania opisuje strona Jak pracujemy.
Po przekazaniu: gwarancja, potem utrzymanie
- Odbiór końcowy
- Zapłata całości
prawa do kodu i grafik przechodzą na Ciebie
- Przekazanie
kod, dokumentacja i dostępy
- Gwarancja
90 dni, błędy z naszej realizacji
- Utrzymanie
osobna umowa: aktualizacje i serwer
Pytania o bezpieczeństwo
Czytaj dalej
Dokumenty i strony, do których ta prowadzi.
Znalazłeś lukę bezpieczeństwa?
Opisaliśmy, jak ją zgłosić, czego nie testować i co dzieje się dalej. Adres jest też w pliku security.txt.
Jak zgłosić podatność