אבטחה

סוכנויות מחברות לְשַׁגֵּר את חשבונות הרשת של הלקוחות שלהן. אנחנו מתייחסים לגישה הזו כדבר הרגיש ביותר שיש אצלנו. העמוד מתאר מה אנחנו עושים היום. הוא לא הסמכה.

הצפנה

• בתעבורה: כל חיבור, לאתר, לאפליקציה ולממשקי הרשתות, מוצפן בפרוטוקול TLS (HTTPS). התעודות מונפקות על ידי Let's Encrypt.
• במנוחה: מפתחות הגישה לרשתות מוצפנים במסד הנתונים בתקן AES-256-GCM. סיסמאות נשמרות רק כגיבוב (hash) עם salt, אף פעם לא כטקסט גלוי.

גישה לחשבונות הרשת

• הרשאה מינימלית: אנחנו מבקשים רק את הרשאות OAuth שכל יכולת צריכה, ומסבירים אותן כשמחברים חשבון.
• השליטה אצלכם: אפשר לנתק חשבון בְּשַׁגֵּר בכל רגע, ואז המפתחות שלו נמחקים מיד (ביוטיוב הם גם מבוטלים מול גוגל). אפשר גם לבטל את הגישה מתוך ההגדרות של הרשת עצמה.
• רק API רשמי: שַׁגֵּר אף פעם לא מבקשת את הסיסמה שלכם לרשת, ולא משתמשת באוטומציה של דפדפן.

אחסון

• השרתים מאוחסנים אצל Hetzner Online GmbH — Helsinki, Finland (EU), באיחוד האירופי.
• קבצי המדיה נשמרים בשרתים שלנו, לא אצל ספק אחסון חיצוני.
• גיבוי של השרתים נעשה כל יום. מידע שנמחק נעלם מהגיבויים תוך 30 יום.
• הגישה לשרתי הייצור מוגבלת למפעיל. הכניסה היא רק עם מפתחות SSH; כניסה עם סיסמה חסומה.
• חומת אש מאפשרת רק תעבורת אינטרנט וגישת SSH, ועדכוני אבטחה של מערכת ההפעלה מותקנים אוטומטית.

באפליקציה

• המידע של כל סביבת עבודה מופרד מסביבות עבודה אחרות.
• תפקידים בצוות (בעלים, מנהל, חבר צוות, ובכל סביבת עבודה מנהל, עורך או צופה) קובעים מי רואה כל לקוח ומי יכול לחבר חשבונות ולפרסם.
• החיבורים לאפליקציה משתמשים בעוגיות מאובטחות מסוג HttpOnly.
• קישורי אישור ללקוח כוללים קוד אקראי שאנחנו שומרים רק כגיבוב. כל קישור פג אחרי זמן, אפשר לבטל אותו, הוא פותח פוסט אחד בלבד, ואי אפשר להתחבר איתו למערכת.

פרטיות כברירת מחדל

• קליקים על קישורים מקוצרים נספרים בלי לשמור כתובות IP, עם קוד מבקר חד כיווני שמתחלף כל יום.
• אין באתר כלי סטטיסטיקה, פרסום או מעקב של צד שלישי.
• עוזר הכתיבה מקבל רק את הטקסט שבחרתם לשלוח אליו.

מה איננו טוענים

כרגע אין לנו SOC 2, ISO 27001 או הסמכת אבטחה אחרת. אם תהליך הרכש שלכם דורש מענה על שאלון אבטחה, כתבו לכתובת yaniv.presler@gmail.com.

דיווח על חולשה

אם נראה לכם שמצאתם בעיית אבטחה בְּשַׁגֵּר, כתבו לכתובת yaniv.presler@gmail.com עם הפרטים ואיך לשחזר אותה. אנחנו מבקשים:

• לתת לנו זמן סביר לתקן לפני פרסום פומבי;
• לא לגשת למידע שאינו שלכם, לא לשנות ולא למחוק אותו, ולעצור ברגע שנתקלתם בו;
• לא להריץ בדיקות של מניעת שירות, ספאם או הנדסה חברתית נגדנו או נגד הלקוחות שלנו.

נאשר שקיבלנו את הדיווח, נעדכן אתכם, ולא ננקוט צעדים משפטיים נגד מחקר בתום לב שעומד בכללים האלה.

אם משהו משתבש

אם אירוע אבטחה יפגע במידע שלכם, נודיע ללקוחות שנפגעו בלי עיכוב מיותר, ותוך 72 שעות כשהחוק או הסכם עיבוד הנתונים מחייבים.