Безопасность Scantelio
Реализованные меры защиты и их ограничения.
Тестовые доступы и секреты
Для тестовых доступов используется конвертное шифрование AES-256-GCM с привязкой к workspace и профилю авторизации. Production-код требует AWS KMS; локальное хранилище ключей в production запрещено. Секреты интеграций шифруются отдельно ключом оператора. Для работы доступа должны быть корректно настроены KMS и права инфраструктуры.
Доступ к результатам
API проверяет членство в рабочем пространстве и права на проект. Роли ограничивают изменения. Доступ супер-администратора проверяется отдельно, административные изменения записываются в аудит. Отчёты не публикуются по открытым ссылкам. Фото обращений доступны автору и супер-администраторам; гостевые фото — только супер-администраторам.
Сессии и передача
В production cookie сессии имеют HttpOnly, Secure и SameSite=Lax. Изменения через сессию требуют настроенный Origin приложения. HTTPS обеспечивается reverse proxy при развёртывании; не передавайте доступы в незашифрованную установку.
Ограничения тестирования
До сканирования нужны подтверждение адреса и согласие. Активные staging-сценарии имеют дополнительные согласия и тестовые объекты. Сетевые ограничения и бюджеты запросов ограничивают запуск. Они не заменяют юридического разрешения на тестирование.
Хранение и удаление
Завершённые запуски удаляются по сроку хранения текущего тарифа. Удалённые проекты становятся доступны для фоновой очистки спустя 24 часа; завершение зависит от работы фонового процесса. Аналитика очищается через 365 дней. Обращения и резервные копии имеют отдельные сроки; удаление можно запросить у оператора. Мгновенное удаление всех копий не гарантируется.
Сообщить об уязвимости
Напишите на owner@scantelio.com, указав компонент и безопасный минимальный пример. Не получайте чужие данные и не проводите разрушающие проверки. Мы не заявляем сертификацию SOC 2 или ISO и абсолютную безопасность.