Изоляция и безопасность

Своя база и свой кабинет

У каждого кабинета — своё приложение и свой сервер PostgreSQL. Общего кластера у платформы нет: чужих данных в вашей базе нет физически, а до базы соседа у вашего кабинета нет даже сетевого маршрута.

Роли

В вашей базе две роли для людей и программ:

• «клиент» — SQL-редактор кабинета и прямой доступ с правкой: читает сырые данные и таблицы источников, правит и удаляет строки таблиц источников, создаёт свои объекты в public и своих схемах;
• «только чтение» — для отчётов и BI.

Ни одна из них не суперпользователь и не видит служебное платформы: настройки, ключи, журналы. Схемами сырых данных и таблиц источников владеет платформа — создать в них объект нельзя. Удалить сырые данные напрямую нельзя: только через корзину.

База не торчит наружу

Прямой доступ к базе идёт через SSH-туннель по персональному ключу. Ключ разрешает ровно один проброс — до вашей базы: ни входа на сервер, ни других портов, ни баз соседей.

Ключи и пароли

• Пароль, который вы задали сами, хранится только хэшем; смена пароля закрывает сессии на других устройствах, «Выйти» отзывает сессию насовсем.
• Ключ API хранится только отпечатком: значение показывается один раз при выпуске.
• Изменить что-то в кабинете можно только со страниц самого кабинета: форма с чужого сайта, даже соседнего поддомена, будет отклонена.

Адрес приёма

Адрес приёма публичный — на него шлют формы сайта. Его защищают секрет в адресе, лимит обращений и предел размера тела. Из исходного запроса кабинет не хранит куки и заголовки авторизации, а сам исходный запрос с IP и браузером удаляется через 90 дней.

Исходящие запросы

Вебхуки и опрос по адресу ходят только на публичные адреса http(s): адрес во внутренней сети платформа не примет. Адрес проверяется перед каждым запросом, и подключение идёт ровно к проверенному адресу — подменить его через DNS между проверкой и запросом нельзя. Тело вебхука подписано HMAC-SHA256, чтобы ваш сервис мог отличить настоящий запрос (Вебхук: формат и подпись).

Бэкапы

Каждую ночь платформа снимает бэкап вашей базы отдельно от других кабинетов и хранит его по общему сроку — Сделать бэкап и вернуть данные.