Pangkalahatang-ideya ng seguridad

Tenant isolation

Hiwalay ang mga row ng bawat workspace sa pamamagitan ng row-level security na ipinapatupad sa Postgres, hindi lang sa application code; ginawang gumana ang mga search index sa ilalim ng policy na iyon sa halip na lampasan ito. Iniimbak ang mga na-upload na file sa ilalim ng mga key kada workspace at inihahatid bilang download maliban kung larawan; umaabot sa mga bisita ang mga file sa chat sa pamamagitan ng mga link na nag-e-expire pagkalipas ng sampung minuto. Pinapahinto ng isang suspendido o saradong workspace ang bawat API key, app at bot token, session, chat at live na koneksyon nang sabay-sabay. Iniimbak ang mga larawan nang wala ang lokasyon, device at iba pang metadata na isinusulat ng mga phone sa mga ito.

Identity

Hina-hash ang mga password gamit ang Argon2id. Maaaring i-on ng bawat tao ang two-factor authentication mula sa pahina ng seguridad ng kanyang account: i-scan ang QR code na iginuhit sa browser, kumpirmahin gamit ang isang code at itago ang mga one-time recovery code; kailangan ang password at isang code para i-off ito. Inililista ng parehong pahina ang bawat naka-sign in na browser, para i-sign out ang isa o lahat ng iba pa. Maaaring magdagdag ang mga workspace ng sarili nilang mga single sign-on provider sa OpenID Connect, limitado sa kanilang mga email domain; hinihingan pa rin ng code ang sinumang nag-on ng two-factor. Maaaring i-require ng mga administrator ang two-factor para sa bawat miyembro, agad-agad o pagkatapos ng grace period na pito o labing-apat na araw, at kailangan itong gamitin ng sariling mga platform administrator ng Kommio. Server-side ang mga session, may absolute at idle na lifetime. Iniimbak bilang hash ang mga API key, bot token at app token, naka-scope sa iisang workspace at isang permission set.

Authorization

Ang mga role ang nagpapasya ng mga pahintulot, kung aling mga usapan ang makikita ng isang tao, at kung ang mga sensitibong field gaya ng email, phone, detalye ng bayad at IP address ay nakikita, naka-mask o nakatago. Walang makakagawa ng role, makakapagbago ng miyembro, makakapag-imbita ng tao o makakapag-apruba ng app nang higit sa hawak nila mismo. Tumatakbo ang mga automation gamit ang mga pahintulot ng taong gumawa nito; tumatakbo ang mga app gamit ang mga scope na inaprubahan ng administrator noong i-install. Ang pag-disable o pag-alis ng miyembro, pagpapakitid ng kanyang role, pagbawi ng API key o pag-suspend ng workspace ay unang nagpapakita kung ano ang maaapektuhan nito at kailangang i-type ang email, pangalan ng key o pangalan ng workspace; maaaring ipasa ang mga rule, bot, webhook at app ng aalis na miyembro sa isang kasamahang may hawak ng mga kinakailangang pahintulot, at ang mga rule na umalis na ang gumawa ay naka-pause hanggang may humawak sa mga ito. Maaaring i-tag ang mga custom attribute na may hawak na ID document, detalye ng bayad o iba pang personal data para sumunod sila sa parehong mga patakaran, at ipinapakita ng Access page, para sa bawat tao, kung aling mga usapan ang nakikita nila at kung paano nila nakikita ang bawat uri ng data. Maaaring markahan mula sa thread o ng isang rule ang mga file na may hawak na ID document o iba pang personal data, at saka susunod sa parehong grant: ipinapakita, naka-mask o nakatago ayon sa role, hindi kailanman ipinapadala sa AI provider, nakalista sa mga export para lang sa mga taong nakakakita nito, at binubura pagkatapos ng retention period na itinakda ng workspace para sa mga identity document.

Audit

Itinatala ng bawat pagbabago kung sino, ano, bago at pagkatapos. Ang paglalantad ng naka-mask na value ay hiwalay na pahintulot at nagsusulat ng sariling audit entry na may opsyonal na dahilan, at inililista ng Security policy page kung sino ang naglantad ng ano sa nakaraang 30 araw, naka-link sa audit log. Kapag in-update ng sariling website ng customer ang pangalan o email ng isang contact sa pag-sign in, o pinagsama ang isang naunang anonymous na chat, itinatala ang pagbabago at ipinapakita sa contact. Iniingatan din ang bawat papasok na email nang eksakto gaya ng pagdating nito, nang 90 araw bilang default (setting ng workspace), at binubura agad kapag binura ang contact; ang taong namamahala lang ng mga inbox at maaaring magbasa ng buong mensahe nang malinaw ang makakapag-download ng kopya, at na-a-audit ang bawat download.

Encryption

Naka-encrypt at rest gamit ang envelope encryption ang mga credential ng channel, SSO secret, key ng AI provider at token, at hindi na muling ipinapakita pagkatapos ma-save. Ginagamit ang TLS saanman habang nasa transit.

Website chat

Ang browser mismo ang nagpapatupad kung aling mga site ang maaaring magpakita ng chat ng isang workspace. Nagiging contact lang ang isang bisita kapag may usapan: kilala lang ang isang anonymous na bisita sa pamamagitan ng random na token sa kanyang browser, walang browser fingerprinting, at ang naka-sign in na bisitang pinatutunayan ng site ang identity ay hawak bilang chat session, hindi contact, hanggang sumulat siya, magsimula ng chat sa kanya ang isang agent o mag-iwan siya ng email; binubura ang session na hindi nakita sa loob ng 30 araw (setting ng workspace ang tagal). Ipinapadala lang ang konteksto ng pag-browse kasama ang unang mensahe. Kinikilala ng site ng customer ang mga naka-sign in na bisita gamit ang signature mula sa sarili nitong server, at ang email na tinype sa chat ay hindi kailanman nag-uugnay ng dalawang tao nang mag-isa. Bawat workspace ang nagpapasya kung iniimbak ang IP address ng bisita nang buo, pinaikli o hindi talaga.

AI assist

Naka-off hanggang i-on ito ng isang administrator, sa libreng AI allowance ng Kommio Cloud o gamit ang sariling provider key ng workspace. Ang kailangan lang ng isang gawain ang ipinapadala: mga kamakailang mensahe, pangalan ng customer, at mga email o phone kapag maaari lang itong makita ng taong nagtatanong. Hindi kailanman ipinapadala ang mga field ng bayad at identity document, mga numero ng card na tinype sa mga mensahe, mga private note para sa mga mungkahing sagot, at mga custom attribute. Walang iniimbak na prompt o sagot ang Kommio, mga bilang lang ng paggamit para sa budget. Ang opsyonal na AI agent ay sumasagot lang mula sa iyong knowledge base, hindi kailanman nagpapakita ng internal na content sa mga customer, hindi pinapadalhan ng email o numero ng phone ng mga contact, at ipinapasa sa isang tao kapag hindi ito sigurado.

Tiwala sa papasok at palabas

Bine-verify ang mga provider webhook sa pamamagitan ng signature bago i-parse. Dumadaan ang mga outbound request sa mga URL na ibinigay ng customer (webhook, bot, app, AI provider) sa iisang SSRF-safe na client na tumatanggi sa mga private range at naglilimita ng laki at oras. Naka-sign ang mga outbound webhook, delivery ng bot at app hook. Sina-sanitize ang mga HTML email body sa oras ng pagsulat at muli kapag nire-render. Sa mga self-hosted na install, maaaring i-scan ng ClamAV ang bawat na-upload o natanggap na file bago ito iimbak: tinatanggihan o pinapalitan ng placeholder ang na-flag na file at hindi kailanman inihahatid. Naka-off ito bilang default, at hindi pa nag-i-scan ng file ang Kommio Cloud.

Browser

Inihahatid ang agent app na may mahigpit na Content Security Policy: same-origin na script, font at koneksyon lang, walang frame o object, at hindi ito maaaring i-embed. Tumatakbo ang mga app panel sa mga sandboxed iframe na may signed at panandaliang konteksto.

Operasyon

Mga least-privilege na database role, dependency at container scanning sa bawat pagbabago, mga release na inilalabas lang pagkatapos pumasa ang buong test suite at masanay ang upgrade mula sa mga nakaraang release, at isang dokumentadong disclosure process. Nade-deploy ang Kommio Cloud nang walang downtime: nagsisimula ang bagong bersyon sa tabi ng luma at pumapalit kapag handa na ito. May mga built-in na backup ang mga self-hosted na install, naka-off bilang default, na nagsusulat ng naka-encrypt na database dump at ng mga nakaimbak na file sa isang disk o bucket ayon sa iskedyul; hindi kailanman bahagi ng backup ang encryption key. Sa Kommio Cloud, may rate limit ang sign-up kada address at email domain, at tinatanggihan ang mga disposable na email address. Nire-restore ang mga self-hosted na backup sa isang scratch database bawat linggo at sinusuri, may alert kapag hindi ito nagtagumpay, at maaari ring i-encrypt sa isang escrow key na nakatago offline.

Pag-uulat ng vulnerability

Mag-email sa [email protected]. Kinikilala namin ang ulat sa loob ng dalawang business day at pinapanatili kang may alam hanggang maresolba ang isyu.