安全
大部分工作都在水线之下。
访客只看到您的页面。在页面之下，每个 Rogueberg 网站都建立在五层防护之上。只要由我们托管，我们就负责搭建、测试并持续监控。
-
- TLS 1.3 和 HSTS
- Web 应用防火墙
- DDoS 过滤
- 登录和表单的频率限制
- 机器人流量管理
-
- 输入校验
- CSRF 防护
- 内容安全策略（CSP）
- 管理员双因素登录
- 依赖项已知 CVE 扫描
-
- 最小化 Linux 安装
- 仅允许密钥 SSH，禁用 root 登录
- 默认拒绝的防火墙
- 自动安全更新
- 暴力破解拦截
-
- 传输和存储全程加密
- 敏感记录使用独立数据库
- 最小权限访问
- 每晚加密异地备份
- 恢复演练
-
- 每分钟一次可用性检查
- 入侵和恶意软件告警
- 日志审查
- 证书到期提醒
- 每月安全报告
上线前检查清单
每一项都打勾之前，什么都不会上线。
无论是六个页面的初创公司网站，还是大学门户，我们都使用同一份清单。交付时，您会收到一份签字版本。
- 所有流量强制 HTTPS 并启用 HSTS
- 已配置安全响应头和 CSP
- 管理后台需双因素登录
- 没有默认密码或共享密钥
- 表单和登录已按 OWASP Top 10 审查
- 依赖项已扫描已知 CVE
- 已在测试服务器上恢复过一次备份
- 告警已完成端到端测试
如果出了问题
您会第一时间从我们这里得知，并附带处理方案。
- 1 · 发现
一旦某项检查失败或日志中出现异常，自动告警会立即通知工程师。
- 2 · 控制
我们隔离受影响的部分，封锁来源，并优先保护您的数据。
- 3 · 恢复
我们修复根本原因，必要时从干净且经过测试的备份中恢复网站。
- 4 · 报告
您会收到一份书面报告：发生了什么、我们做了哪些改动，以及您需要向监管机构报备的内容。
依照贵机构需要遵守的规则来构建。
我们设计的系统让合规更容易。正式认证和法律意见仍由您的审计师和律师负责。
印度
DPDP 法案（2023）
同意告知、未成年人的家长同意，以及可按请求查找、导出和删除的数据。
印度
CERT-In 指令
保留日志并备好事件详情，确保可报告事件能在规定的 6 小时内上报。
欧盟
GDPR
真正有效的 Cookie 同意、需要时在欧盟境内托管，以及与网站实际行为一致的隐私页面。
全球
OWASP Top 10
每个表单、登录和 API 都会对照最常见的 Web 应用风险进行检查。
担心您现有的网站？
我们会审查并坦白告诉您需要修复什么，无论您是否委托我们。