Bezpieczeństwo: jak OKStatus chroni Twoje dane w UE.
Gdzie są Twoje dane, jak są chronione, kto ma do nich dostęp i jak zgłosić podatność. Konkretne, aktualne fakty — te same, które przekazujemy w audytach bezpieczeństwa firm.
Contact: mailto:contact@clearcloud.fr Preferred-Languages: fr, en Canonical: https://okstatus.eu/.well-known/security.txt Policy: https://okstatus.eu/security#disclosure
Hosting i lokalizacja danych
Platforma i baza danych działają w Scaleway w Paryżu. Kopie zapasowe, ciągłe i z odtwarzaniem do punktu w czasie, są przechowywane w OVHcloud w Gravelines. Sondy wykonują Twoje sprawdzenia: otrzymują adres celu i — jeśli monitor je ma — dane uwierzytelniające (basic auth, token), nigdy dane Twojego konta; wyniki wracają do UE. Każdy podmiot przetwarzający, łącznie z sondami, jest wymieniony z dokładną lokalizacją na datowanej stronie z kanałem zmian.
Szyfrowanie
TLS 1.2+ wszędzie (HSTS na każdym publicznym hoście). Sekrety klientów — dane logowania monitorów, tokeny kanałów alertów, klucze API — są szyfrowane w spoczynku AES-256-GCM kluczem, który nie jest przechowywany razem z danymi. Kopie zapasowe są szyfrowane.
Dostęp i tożsamość
Logowanie działa na Keycloak: hasło, logowanie społecznościowe lub własny dostawca tożsamości (SAML/OIDC, Enterprise). Dwuskładnikowe TOTP dla każdego konta, obowiązkowe w naszej konsoli wewnętrznej. Role (właściciel, administrator, członek, obserwator) egzekwowane po stronie serwera.
Audyt i identyfikowalność
Każde utworzenie, zmiana i usunięcie w Twojej organizacji jest rejestrowane (kto, co, kiedy, skąd) i dostępne dla klientów Enterprise w panelu oraz w eksporcie CSV. Działania personelu są rejestrowane osobno.
Kopie zapasowe i ciągłość
Ciągłe kopie zapasowe PostgreSQL z odtwarzaniem do punktu w czasie, przetestowana i udokumentowana procedura przywracania, publiczna strona statusu hostowana poza infrastrukturą, by działała, nawet gdy my nie działamy.
Łańcuch dostaw oprogramowania
Obrazy kontenerów są budowane od nowa z przypiętych obrazów bazowych, skanowane w CI pod kątem podatności CRITICAL przed publikacją i codziennie skanowane ponownie w klastrze. Zależności są audytowane przy każdym buildzie.
Odpowiedzialne ujawnianie
Coś znalazłeś? Napisz na adres poniżej, podając kroki do odtworzenia. Potwierdzamy otrzymanie w ciągu 2 dni roboczych, informujemy na bieżąco i — jeśli chcesz — wymieniamy Cię z nazwiska. Badania prowadzone w dobrej wierze, bez niszczenia danych, naruszania prywatności i zakłócania usługi, nie spotkają się z działaniami prawnymi.
W zakresie: okstatus.eu, api.okstatus.eu, docs.okstatus.eu, publiczne strony statusu i agenty w Ruście. Poza zakresem: odmowa usługi, socjotechnika, usługi stron trzecich, których nie obsługujemy.
Kontakt w formacie maszynowym: /.well-known/security.txt
Dokumenty
Lista podmiotów przetwarzających, DPA, załącznik SLA, polityka prywatności i strona Zgodność. Pakiet bezpieczeństwa (kwestionariusze CAIQ-Lite i SIG-Lite, polityki bezpieczeństwa, plan reagowania na incydenty) wysyłamy na życzenie, niezależnie od planu.