Безопасность
Основная работа идёт ниже ватерлинии.
Посетители видят только ваши страницы. Под ними каждый сайт Rogueberg опирается на пять уровней защиты, которые мы настраиваем, проверяем и отслеживаем всё время, пока размещаем сайт.
-
- TLS 1.3 и HSTS
- межсетевой экран для веб-приложений
- фильтрация DDoS
- ограничение частоты входов и отправки форм
- управление ботами
-
- Проверка входных данных
- защита от CSRF
- Content Security Policy
- двухфакторный вход для администраторов
- проверка зависимостей на известные CVE
-
- Минимальная установка Linux
- SSH только по ключу, вход под root отключён
- межсетевой экран с запретом по умолчанию
- автоматические обновления безопасности
- блокировка перебора паролей
-
- Шифрование при передаче и хранении
- отдельные базы для конфиденциальных записей
- доступ по принципу минимальных прав
- ночные зашифрованные копии вне сервера
- проверки восстановления
-
- Проверка доступности каждую минуту
- оповещения о вторжениях и вредоносном ПО
- анализ журналов
- оповещения об истечении сертификатов
- ежемесячный отчёт о безопасности
Проверка перед запуском
Ничего не выходит в свет, пока не отмечен каждый пункт.
Мы проходим один и тот же список в каждом проекте, от шестистраничного сайта стартапа до портала университета. При передаче вы получаете подписанный экземпляр.
- Весь трафик принудительно идёт по HTTPS с HSTS
- Заголовки безопасности и CSP настроены
- Админ-разделы закрыты двухфакторным входом
- Никаких паролей по умолчанию и общих ключей
- Формы и вход проверены по OWASP Top 10
- Зависимости проверены на известные CVE
- Резервная копия восстановлена на тестовом сервере
- Оповещения проверены от начала до конца
Если что-то пошло не так
Вы первыми узнаёте об этом от нас, и сразу с планом.
- 1 · Обнаружить
Автоматические оповещения приходят инженеру, как только проверка не прошла или в журналах появилось что-то необычное.
- 2 · Локализовать
Мы изолируем затронутую часть, блокируем источник и в первую очередь защищаем ваши данные.
- 3 · Восстановить
Мы устраняем причину и при необходимости возвращаем сайт из чистой, проверенной резервной копии.
- 4 · Отчитаться
Вы получаете письменный отчёт: что произошло, что мы изменили и о чём нужно сообщить регуляторам.
С учётом правил, по которым работает ваша организация.
Мы создаём системы, которые упрощают соответствие требованиям. Формальная сертификация и юридические консультации остаются за вашими аудиторами и юристами.
Закон DPDP 2023 года
Уведомления о согласии, согласие родителей для несовершеннолетних и данные, которые можно найти, выгрузить и удалить по запросу.
Требования CERT-In
Журналы хранятся, а сведения об инциденте готовы, чтобы сообщить о нём в обязательный срок 6 часов.
GDPR
Работающее согласие на cookie, хостинг в ЕС при необходимости и страницы о конфиденциальности, которые соответствуют тому, что сайт делает на самом деле.
OWASP Top 10
Каждая форма, вход и API проверяются на самые распространённые риски веб-приложений.
Беспокоитесь о текущем сайте?
Мы проверим его и прямо скажем, что нужно исправить, независимо от того, наймёте ли вы нас.