Cara GoDesk dibangun, dienkripsi, dan dioperasikan, serta cara melaporkan kerentanan. Jawaban jujur, termasuk tentang apa yang belum kami sertifikasi.
Konten sesi (layar Anda, ketikan, file yang ditransfer) dienkripsi end-to-end dengan pertukaran kunci X25519 dan AES-256-GCM. Server relay kami hanya melihat paket terenkripsi. Kami tidak dapat membaca sesi Anda.
Kami belum bersertifikat SOC 2 atau ISO 27001. Penyedia infrastruktur yang kami andalkan telah bersertifikat. Jika Anda menemukan kerentanan, kirim email ke info@godeskflow.com.
Halaman ini menjelaskan arsitektur keamanan klien GoDesk dan layanan relay yang dihosting oleh upDevTeam LTD di godeskflow.com, serta proses pengungkapan yang bertanggung jawab untuk melaporkan kerentanan kepada kami.
Ini bersifat informasional. Komitmen keamanan kontraktual ada dalam Ketentuan Layanan dan DPA.
Enkripsi end-to-end adalah properti keamanan utama dari Layanan. Relay tidak pernah menyimpan konten sesi dalam bentuk teks biasa.
Perpustakaan kriptografi ditetapkan ke versi hulu yang diaudit dan diperbarui pada jadwal yang terdokumentasi. Kami tidak mengimplementasikan primitif kami sendiri.
Infrastruktur produksi berjalan pada penyedia berikut:
Semua penyedia terikat oleh perjanjian pemrosesan data yang mencerminkan kewajiban dalam DPA kami.
Kontrol akses tingkat pengguna:
Status jujur per tanggal di atas halaman ini: GoDesk dan upDevTeam LTD TIDAK saat ini bersertifikat untuk SOC 2, ISO 27001, ISO 27017, ISO 27018, HIPAA, PCI-DSS, FedRAMP, atau standar keamanan pihak ketiga formal lainnya. Klaim publik sebaliknya adalah salah.
Penyedia hosting dan infrastruktur kami (Hetzner, Cloudflare, Supabase, Stripe) sendiri diaudit SOC 2 / ISO 27001; keamanan kami mewarisi beberapa jaminan dari mereka tetapi tidak menyamakannya.
Kami sedang mengerjakan tinjauan keamanan eksternal untuk 2026 dan akan mempublikasikan hasilnya di halaman ini saat tersedia. Kami tidak akan berpura-pura memiliki sertifikasi yang tidak kami miliki.
Tindakan administratif pada sistem produksi dicatat ke log pusat yang hanya dapat ditambahkan dengan retensi minimal 90 hari. Log mencatat aktor, tindakan, stempel waktu, dan IP sumber. Akses produksi dibatasi hanya untuk sejumlah kecil insinyur yang ditunjuk dengan autentikasi dua faktor wajib.
Kami memantau waktu aktif, tingkat kesalahan, dan sinyal terkait penyalahgunaan (lonjakan lalu lintas mendadak, percobaan brute-force, enumerasi ID-peer) dan melakukan rotasi cakupan siaga setiap minggu.
Perangkat staf yang digunakan untuk mengakses sistem produksi harus:
Klien GoDesk adalah sumber terbuka di bawah AGPL-3.0. Siapa saja dapat membaca kode sumber, membangunnya, dan memverifikasi bahwa ia melakukan apa yang kami klaim. Kode relay (sebuah fork dari hbbr / hbbs) juga bersumber terbuka.
Kami menerbitkan hash SHA-256 untuk setiap installer yang dirilis. Kami mengejar penandatanganan kode EV untuk Windows dan notarisasi Apple untuk macOS; status build saat ini ada di halaman Unduh.
Kami menyambut laporan dari peneliti keamanan independen. Untuk melaporkan kerentanan:
Kami saat ini tidak menjalankan program bug-bounty berbayar. Kami mengakui laporan yang berarti secara publik (dengan izin Anda) di halaman hall-of-fame setelah masalah diperbaiki.
Temuan kritis (RCE, enkripsi end-to-end yang rusak, bypass otentikasi massal) segera dilaporkan kepada insinyur yang bertugas dan diberikan prioritas di atas pekerjaan yang dijadwalkan.
Yang berikut tidak memenuhi syarat untuk perlakuan safe-harbour di bawah bagian 9 dan dapat dilaporkan tetapi tidak mungkin dianggap sebagai kerentanan:
Kami mempertahankan buku pedoman tanggapan insiden tertulis yang mencakup deteksi, penanganan, penghilangan, pemulihan, dan tinjauan pasca-insiden. Buku pedoman ini ditinjau setidaknya setahun sekali dan setelah setiap insiden material.
Jika terjadi pelanggaran data pribadi, jadwal pemberitahuan dalam Kebijakan Privasi dan DPA kami berlaku.
Ketika arsitektur atau komitmen apa pun di halaman ini berubah secara material, kami memperbarui tanggal 'Terakhir diperbarui' dan mengumumkan perubahan di catatan perubahan.
Membaca kode sumber adalah cara paling andal untuk memverifikasi klaim keamanan. Mulailah di github.com/GoDeskFlow.