Sicurezza: come OKStatus protegge i tuoi dati nell'UE.
Dove si trovano i tuoi dati, come sono protetti, chi può accedervi e come segnalarci una vulnerabilità. Fatti chiari e aggiornati: gli stessi che forniamo nelle revisioni di sicurezza aziendali.
Contact: mailto:contact@clearcloud.fr Preferred-Languages: fr, en Canonical: https://okstatus.eu/.well-known/security.txt Policy: https://okstatus.eu/security#disclosure
Hosting e posizione dei dati
La piattaforma e il database girano su Scaleway a Parigi. I backup, continui e con ripristino point-in-time, sono archiviati su OVHcloud a Gravelines. Le sonde eseguono i tuoi controlli: ricevono l'indirizzo del target e, se il monitor ne ha, le sue credenziali (basic auth, token), mai i dati del tuo account; i risultati tornano nell'UE. Ogni sub-responsabile, sonde incluse, è elencato con la posizione esatta su una pagina datata con feed delle modifiche.
Cifratura
TLS 1.2+ ovunque (HSTS su ogni host pubblico). I segreti dei clienti (credenziali dei monitor, token dei canali di avviso, chiavi API) sono cifrati a riposo con AES-256-GCM con una chiave non conservata insieme ai dati. I backup sono cifrati.
Accesso e identità
L'accesso usa Keycloak: password, accesso social o il tuo provider di identità (SAML/OIDC, Enterprise). Doppio fattore TOTP per ogni account, obbligatorio per la nostra console interna. Ruoli (proprietario, amministratore, membro, lettore) applicati lato server.
Audit e tracciabilità
Ogni creazione, modifica ed eliminazione nella tua organizzazione viene registrata (chi, cosa, quando, da dove) ed è disponibile ai clienti Enterprise nella dashboard e in esportazione CSV. Le azioni del personale sono registrate separatamente.
Backup e continuità
Backup PostgreSQL continui con ripristino point-in-time, procedura di ripristino testata e documentata, pagina di stato pubblica ospitata fuori dall'infrastruttura così resta disponibile anche quando noi non lo siamo.
Supply chain del software
Le immagini container vengono ricostruite da basi fissate, analizzate in CI per vulnerabilità CRITICAL prima di poter essere pubblicate e rianalizzate ogni giorno nel cluster. Le dipendenze vengono verificate a ogni build.
Divulgazione responsabile
Hai trovato qualcosa? Scrivi all'indirizzo qui sotto con i passaggi per riprodurlo. Confermiamo la ricezione entro 2 giorni lavorativi, ti teniamo aggiornato e ti diamo credito se lo desideri. Una ricerca in buona fede che eviti distruzione di dati, violazioni della privacy e interruzioni del servizio non porterà ad azioni legali.
Nell'ambito: okstatus.eu, api.okstatus.eu, docs.okstatus.eu, le pagine di stato pubbliche e gli agenti Rust. Fuori ambito: denial of service, social engineering, servizi di terze parti che non gestiamo.
Contatto leggibile da macchina: /.well-known/security.txt
Documenti
Elenco dei sub-responsabili, DPA, allegato SLA, informativa sulla privacy e pagina Conformità. Il pacchetto sicurezza (questionari CAIQ-Lite e SIG-Lite, policy di sicurezza, piano di risposta agli incidenti) viene inviato su richiesta, qualunque sia il tuo piano.