Các Thực Tiễn Bảo Mật

Trang này mô tả kiến trúc bảo mật của ứng dụng khách GoDesk và dịch vụ relay được vận hành bởi upDevTeam LTD tại godeskflow.com, cùng với quy trình tiết lộ trách nhiệm để báo cáo các lỗ hổng cho chúng tôi.

Đây là thông tin. Các cam kết bảo mật hợp đồng được quy định trong Điều Khoản Dịch Vụ và DPA.

Mã hóa đầu cuối là thuộc tính bảo mật trung tâm của Dịch vụ. Máy relay không bao giờ giữ nội dung phiên ở dạng văn bản thuần túy.

Các thư viện mã hóa được khóa vào các phiên bản upstream đã được kiểm toán và được cập nhật theo lịch trình đã được ghi lại. Chúng tôi không thực hiện các nguyên tắc của riêng mình.

Hạ tầng sản xuất hoạt động trên các nhà cung cấp sau:

Tất cả các nhà cung cấp đều bị ràng buộc bởi các thỏa thuận xử lý dữ liệu phản ánh nghĩa vụ trong DPA của chúng tôi.

Kiểm soát truy cập người dùng:

Trạng thái trung thực tính đến ngày ở đầu trang này: GoDesk và upDevTeam LTD HIỆN TẠI không được chứng nhận SOC 2, ISO 27001, ISO 27017, ISO 27018, HIPAA, PCI-DSS, FedRAMP, hoặc bất kỳ tiêu chuẩn an ninh bên thứ ba chính thức nào khác. Các tuyên bố công khai ngược lại là sai.

Các nhà cung cấp hạ tầng và lưu trữ của chúng tôi (Hetzner, Cloudflare, Supabase, Stripe) tự bản thân đã được kiểm toán SOC 2 / ISO 27001; bảo mật của chúng tôi thừa hưởng một số sự đảm bảo từ họ nhưng không tương đương.

Chúng tôi đang làm việc hướng tới một đánh giá an ninh bên ngoài cho năm 2026 và sẽ công bố kết quả trên trang này khi có. Chúng tôi sẽ không giả vờ có chứng nhận mà chúng tôi không có.

Các hành động quản trị trên hệ thống sản xuất được ghi lại vào một nhật ký trung tâm, chỉ thêm với ít nhất 90 ngày lưu giữ. Nhật ký ghi lại tác giả, hành động, thời gian và địa chỉ IP nguồn. Truy cập sản xuất được hạn chế cho một số kỹ sư đã được xác định với yêu cầu xác thực hai yếu tố.

Chúng tôi theo dõi thời gian hoạt động, tỷ lệ lỗi và các tín hiệu liên quan đến lạm dụng (tăng đột biến lưu lượng, cố gắng tấn công brute-force, liệt kê peer-ID) và luân chuyển sự hiện diện của nhân viên theo tuần.

Thiết bị của nhân viên sử dụng để truy cập hệ thống sản xuất phải:

Khách hàng GoDesk là mã nguồn mở theo AGPL-3.0. Bất kỳ ai cũng có thể đọc mã nguồn, xây dựng nó và xác minh rằng nó hoạt động như chúng tôi tuyên bố. Mã relay (một nhánh của hbbr / hbbs) cũng tương tự là mã nguồn mở.

Chúng tôi công bố các băm SHA-256 cho mỗi trình cài đặt được phát hành. Chúng tôi đang theo đuổi việc ký mã EV cho Windows và xác nhận Apple cho macOS; trạng thái xây dựng hiện tại có trên trang Tải xuống.

Chúng tôi hoan nghênh báo cáo từ các nhà nghiên cứu bảo mật độc lập. Để báo cáo một lỗ hổng:

Chúng tôi hiện không thực hiện chương trình thưởng lỗi bảo mật có trả tiền. Chúng tôi công nhận các báo cáo có ý nghĩa công khai (với sự cho phép của bạn) trên một trang danh sách vinh danh khi vấn đề được khắc phục.

Các phát hiện quan trọng (RCE, mã hóa end-to-end bị phá vỡ, bỏ qua xác thực hàng loạt) được chuyển tới kỹ sư trực tiếp ngay lập tức và được ưu tiên hơn các công việc đã lên lịch.

Các vấn đề sau đây không đủ điều kiện nhận sự bảo vệ nơi trú ẩn an toàn theo điều 9 và có thể được báo cáo nhưng không có khả năng được coi là lỗ hổng:

Chúng tôi duy trì một cuốn sổ tay phản hồi sự cố bằng văn bản bao gồm phát hiện, kiểm soát, tiêu diệt, phục hồi và xem xét sau sự cố. Cuốn sổ tay được xem xét ít nhất hàng năm và sau mỗi sự cố quan trọng.

Nếu xảy ra vi phạm dữ liệu cá nhân, các thời gian thông báo trong Chính sách Bảo mật và DPA của chúng tôi sẽ được áp dụng.

Khi kiến trúc hoặc bất kỳ cam kết nào trên trang này thay đổi lớn, chúng tôi sẽ cập nhật ngày 'Cập nhật lần cuối' và thông báo sự thay đổi trong nhật ký thay đổi.