Bezpečnosť v ePulz.io

Infraštruktúra výlučne v EÚ

Celá platforma beží na vlastnej infraštruktúre v Európskej únii (Slovensko). Monitorovacie dáta nikdy neopúšťajú EHP a nespracúva ich žiadny americký verejný cloud. Sondy vo viacerých regiónoch sú prepojené izolovanými WireGuard tunelmi.

Šifrovanie

Všetka komunikácia s ePulz.io je šifrovaná cez TLS 1.3; HSTS je zapnuté a doména je prihlásená do preload zoznamu prehliadačov. Heslá ukladáme ako bcrypt hashe a nikdy ich nelogujeme.

Zálohy a obnova

Databáza sa zálohuje denne s priebežným WAL archivovaním a kópia sa každý deň replikuje na oddelenú fyzickú lokalitu. Obnovu pravidelne testujeme - záloha, ktorá sa nikdy neobnovila, nie je záloha.

Ochrana účtu

Dvojfaktorové overenie (TOTP) so záložnými kódmi, prísne rate limity na prihlásenie a reset hesla (na IP aj na účet), zabezpečené session cookies a Content-Security-Policy s nonce v celej aplikácii.

API a agent tokeny

Všetky tokeny majú prefix epulzio_ (ľahko sa zachytia v leak skeneroch), úzky rozsah oprávnení - agent token vie iba stiahnuť vlastný zoznam kontrol a odoslať výsledky - a v dashboarde sa dajú kedykoľvek zrušiť.

LAN agent

Agent je jediný Python súbor (~600 riadkov, iba štandardná knižnica), ktorý si môžete prečítať pred spustením. Komunikuje výlučne smerom von cez HTTPS a beží ako neprivilegovaný používateľ so systemd sandboxom. Ako funguje LAN agent

Kto stráži strážnika

Platforma monitoruje samú seba z viacerých nodov a nezávislá sonda na oddelenej lokalite kontroluje ePulz.io každú minútu zvonku, mimo našej siete. Aktuálny stav je verejný na status.epulz.io.

Responsible disclosure

Našli ste zraniteľnosť? Napíšte na [email protected] - odpovedáme rýchlo, opravujeme ešte rýchlejšie a zodpovedných výskumníkov uvádzame v poďakovaní. Proti dobromyseľnému bezpečnostnému výskumu nepodnikáme právne kroky. Detaily: security.txt.

Súlad s predpismi

ePulz.io prevádzkuje európska firma v súlade s GDPR. Certifikácie SOC 2 ani ISO 27001 zatiaľ nemáme - sme malá európska firma a hovoríme to otvorene; certifikácie plánujeme s rastom. Súvisiace dokumenty: Ochrana údajov (GDPR) · Sprostredkovatelia · DPA.