Saugumas, kuris integruotas, o ne pridėtas vėliau
Patiki mums savo idėjas ir savo naudotojų duomenis. Štai ką tiksliai darome, kad juos apsaugotume, — tik praktikos, kurios šiandien iš tikrųjų taikomos.
HTTPS visur
builder77, kiekviena publikuota programėlė builder77.com domene ir kiekvienas prijungtas nuosavas domenas pasiekiami per HTTPS, o sertifikatai išduodami automatiškai.
Slaptažodžių maiša su bcrypt
Slaptažodžiai — ir tavo builder77 paskyros, ir tavo programėlių galutinių naudotojų — maišomi su bcrypt. Niekada nesaugome ir neregistruojame slaptažodžių atviru tekstu.
httpOnly sesijos slapukai
Tavo builder77 sesija yra pasirašytas JWT, saugomas httpOnly, SameSite slapuke (gamybinėje aplinkoje ir Secure), todėl puslapio scenarijai jo negali perskaityti.
Kiekvienos programėlės duomenų izoliacija
Kiekviena duomenų bazės užklausa apribota viena programėle. Viena programėlė niekada negali skaityti ar rašyti kitos programėlės įrašų, naudotojų ar įkeltų failų.
Izoliuoti programėlių domenai
Publikuotos programėlės, kūrimo įrankio peržiūros ir Flutter versijos veikia savuose subdomenuose — niekada builder77.com, — todėl programėlės kodas negali veikti tavo builder77 paskyros vardu.
Kolekcijų prieigos taisyklės
Skiltyje „Duomenys“ (arba faile m77.config.json) nustatyk kiekvieną kolekciją kaip viešą, tik prisijungusiems, tik savininkui arba tik skaitomą. Taisyklės taikomos serveryje.
Su projektu susieti žetonai
Kai naudotojas prisijungia prie tavo sukurtos programėlės, jis gauna žetoną, susietą būtent su tuo projektu. Niekur kitur jis neveikia.
Tik savininko įrašai
Prisijungusio programėlės naudotojo sukurtus įrašus redaguoti ar ištrinti gali tik tas pats naudotojas. Naudok { mine: true }, kad naudotojai matytų tik savo duomenis.
Užklausų ribojimas
Registracija, prisijungimas, slaptažodžio atkūrimas, formos, įrašymas į duomenų bazę, DI iškvietimai ir įkėlimai ribojami kiekvienam tinklui, kad būtų sulėtintas piktnaudžiavimas ir slaptažodžių spėliojimas.
Privačios programėlės ir peržiūros tik savininkui
Kūrimo įrankio peržiūros naudoja trumpalaikes pasirašytas nuorodas, matomas tik programėlės savininkui. Mokamuose planuose publikuotas programėles gali padaryti privačias, kad jas atidaryti galėtum tik tu.
Bendra atsakomybė
Mes saugome platformą. Tu sprendi, ką tavo programėlė renka ir kas tai gali matyti. Keli įpročiai labai padeda:
Asmens duomenims naudok prisijungimą
Jei tavo programėlė saugo ką nors asmeniško, reikalauk prisijungti su m77.auth ir rašyk užklausas su { mine: true }.
Neįrašyk slaptų duomenų į kodą
Niekada neįklijuok API raktų ar slaptažodžių į programėlės kodą — viskas, kas yra naršyklės kode, matoma lankytojams.
Vidinius įrankius padaryk privačius
Kuri ką nors tik sau ar savo komandai? Programėlės nustatymuose įjunk privatų režimą.
Atsakingas atskleidimas
Jei manai, kad radai saugumo pažeidžiamumą builder77, pranešk mums per kontaktų formą (tema: Saugumas). Vertiname saugumo tyrėjų darbą ir į sąžiningus pranešimus žiūrime rimtai ir pagarbiai.
Prašome nurodyti
- Problemos aprašymą ir galimą poveikį.
- Atkūrimo veiksmus, įskaitant URL, užklausų informaciją arba koncepcijos įrodymą (proof of concept).
- Savo vardą ar slapyvardį, jei nori, kad tave paminėtume.
Mūsų įsipareigojimai
- Patvirtinsime tavo pranešimo gavimą per 3 darbo dienas.
- Informuosime tave, kol tirsime ir taisysime problemą.
- Nesiimsime teisinių veiksmų dėl sąžiningai, pagal šias gaires atlikto tyrimo.
Gairės
- Testuok tik tau priklausančias paskyras ir programėles arba tas, kurias testuoti turi aiškų leidimą.
- Nesinaudok kitų naudotojų duomenimis, jų nekeisk ir netrink. Sustok ir pranešk, kai tik pamatai ne savo duomenis.
- Jokių paslaugos trikdymo (DoS) atakų, šlamšto, socialinės inžinerijos ar fizinių atakų.
- Suteik mums pagrįstą laiką problemai ištaisyti prieš ją viešai atskleisdamas.
Norėdamas pranešti apie programėlę, naudojamą sukčiavimui (phishing), kenkėjiškoms programoms ar kitam piktnaudžiavimui (o ne apie pažeidžiamumą pačioje builder77), naudok puslapį pranešti apie piktnaudžiavimą arba kontaktų formą.