Безопасность
Безопасность на каждом уровне платформы
В вашем магазине хранятся балансы, коды и документы покупателей. Вот что именно Kavia Commerce делает для их защиты — в коде и во всех каналах: на сайте, в Telegram-боте, в API для реселлеров и в админ-панели.
Вход и аккаунты
- Пароли хешируются алгоритмом argon2 и никогда не хранятся в открытом виде.
- Двухэтапный вход через приложение-аутентификатор (TOTP) и одноразовые коды восстановления.
- Список устройств и сеансов с выходом на каждом устройстве отдельно.
- Блокировка аккаунта после серии неудачных попыток входа и ограничение частоты запросов для каждого IP.
- Временные почтовые ящики при регистрации не принимаются.
- Подтверждённый e-mail обязателен для сообщений об оплате, заявок продавца, заявок на продажу и проверки личности.
Балансы и заказы
- Каждое движение по кошельку — новая неизменяемая запись в журнале. Баланс никогда не перезаписывается.
- Каждый депозит учитывается один раз: пара «сеть + хеш транзакции» уникальна.
- Заказы реселлеров идемпотентны: повторный запрос с тем же API-ключом и внешним номером заказа не создаст и не спишет второй заказ.
Документы и данные
- Загруженные документы перекодируются, данные EXIF и GPS удаляются.
- Документы хранятся в зашифрованном виде, а каждый их просмотр сотрудником записывается в журнал аудита.
- Весь пользовательский текст проверяется на сервере: в именах и формах не принимаются HTML, скрипты и шаблонный синтаксис, а при выводе всё экранируется.
Админ-панель и сотрудники
- Права сотрудников назначаются по ролям: каждый видит и меняет только то, что разрешает его роль.
- Каждое действие в админ-панели записывается в журнал аудита: кто, что и когда сделал.
API для реселлеров
- API-ключ показывается один раз при создании и хранится только в виде хеша.
- Для каждого ключа можно задать список разрешённых IP-адресов.
- У каждого ключа свой лимит частоты запросов.
Сайт и браузер
- Cookie сеанса помечены HttpOnly и Secure и недоступны скриптам страницы.
- HSTS не даёт браузеру уйти с HTTPS.
- Строгая политика Content Security Policy ограничивает, какие скрипты может запускать страница.
Готовые сайты
Готовые сайты для бизнеса — отдельный продукт со своей защитой:
- Пароль панели хранится как хеш scrypt с солью; первый пароль генерируется случайно и проверяется сравнением, устойчивым к атакам по времени.
- Cookie сеанса помечена HttpOnly, SameSite=Strict и Secure.
- Запросы к панели защищены от CSRF.
- Ограничения частоты: 6 попыток входа в панель с одного IP за 15 минут, 8 отправок формы связи с одного IP за 10 минут.
- Размер запроса ограничен, сохраняемое содержимое проверяется на сервере, а у загружаемых изображений проверяется сигнатура файла.
- Действия в панели записываются в журнал аудита, хранятся последние 50 версий содержимого.
- Лицензионный ключ подписан Ed25519 и привязан к домену и теме.
- Страницы собираются как статический HTML, весь текст экранируется.
HTTPS зависит от сервера, на котором работает сайт; сам продукт его не обеспечивает.
Чего мы не заявляем
У нас нет сертификатов ISO 27001, SOC 2 или PCI DSS, и мы не публиковали отчёт о тестировании на проникновение. Если вашей компании нужна анкета по безопасности, ответим на неё письменно.
Нашли уязвимость? Как сообщить о ней, описано в Центре доверия. Центр доверия
Обсудим ваш проект
Коротко опишите задачу. Обычно мы отвечаем в течение одного рабочего дня.