सुरक्षा का अवलोकन

टेनेंट आइसोलेशन

हर वर्कस्पेस की पंक्तियाँ Postgres में लागू row-level security से अलग की जाती हैं, सिर्फ़ ऐप्लिकेशन कोड में नहीं; खोज इंडेक्स को उस नीति को दरकिनार करने के बजाय उसी के तहत काम करने लायक बनाया गया है। अपलोड की गई फ़ाइलें हर वर्कस्पेस की अलग कुंजियों के तहत स्टोर होती हैं और तस्वीरों को छोड़कर डाउनलोड के रूप में दी जाती हैं; चैट में फ़ाइलें विज़िटर तक ऐसे लिंक से पहुँचती हैं जो दस मिनट बाद समाप्त हो जाते हैं। निलंबित या बंद वर्कस्पेस हर API की, ऐप और बॉट टोकन, सेशन, चैट और लाइव कनेक्शन को एक साथ रोक देता है। फ़ोटो उस स्थान, डिवाइस और अन्य मेटाडेटा के बिना स्टोर होती हैं जो फ़ोन उनमें लिखते हैं।

पहचान

पासवर्ड Argon2id से हैश किए जाते हैं। हर व्यक्ति अपने अकाउंट सुरक्षा पेज से टू-फ़ैक्टर ऑथेंटिकेशन चालू कर सकता है: ब्राउज़र में बना QR कोड स्कैन करें, एक कोड से पुष्टि करें और एक बार इस्तेमाल होने वाले रिकवरी कोड रखें; इसे बंद करने के लिए पासवर्ड और एक कोड चाहिए। वही पेज हर साइन-इन ब्राउज़र की सूची दिखाता है, ताकि एक या बाक़ी सभी से साइन आउट कर सकें। वर्कस्पेस OpenID Connect पर अपने सिंगल साइन-ऑन प्रोवाइडर जोड़ सकते हैं, जो उनके ईमेल डोमेन तक सीमित हैं; जिसने टू-फ़ैक्टर चालू किया है, उससे फिर भी कोड माँगा जाता है। एडमिनिस्ट्रेटर हर सदस्य के लिए टू-फ़ैक्टर अनिवार्य कर सकते हैं, तुरंत या सात या चौदह दिन की छूट अवधि के बाद, और Kommio के अपने प्लेटफ़ॉर्म एडमिनिस्ट्रेटर को इसे इस्तेमाल करना ही होता है। सेशन सर्वर-साइड होते हैं, पूर्ण और निष्क्रियता वाली समय-सीमाओं के साथ। API की, बॉट टोकन और ऐप टोकन हैश के रूप में स्टोर होते हैं, एक वर्कस्पेस और एक अनुमति सेट तक सीमित।

ऑथराइज़ेशन

रोल अनुमतियाँ तय करते हैं, यह कि कोई व्यक्ति कौन सी बातचीत देख सकता है, और यह कि ईमेल, फ़ोन, भुगतान विवरण और IP पते जैसे संवेदनशील फ़ील्ड दिखें, मास्क हों या छिपे रहें। कोई भी अपने पास मौजूद अधिकारों से ज़्यादा वाला रोल नहीं बना सकता, किसी सदस्य को नहीं बदल सकता, किसी को आमंत्रित नहीं कर सकता या किसी ऐप को मंज़ूरी नहीं दे सकता। ऑटोमेशन उन्हें बनाने वाले व्यक्ति की अनुमतियों के साथ चलते हैं; ऐप उन स्कोप के साथ चलते हैं जिन्हें एडमिनिस्ट्रेटर ने इंस्टॉल के समय मंज़ूर किया। किसी सदस्य को निष्क्रिय करना या हटाना, उसका रोल सीमित करना, API की रद्द करना या वर्कस्पेस निलंबित करना पहले दिखाता है कि इसका क्या असर होगा और इसके लिए ईमेल, की का नाम या वर्कस्पेस का नाम टाइप करना पड़ता है; जाने वाले सदस्य के नियम, बॉट, वेबहुक और ऐप ज़रूरी अनुमतियों वाले किसी सहकर्मी को सौंपे जा सकते हैं, और जिन नियमों का लेखक चला गया है वे तब तक रुके रहते हैं जब तक कोई उन्हें अपने हाथ में न ले। ID दस्तावेज़, भुगतान विवरण या अन्य निजी डेटा रखने वाले कस्टम एट्रिब्यूट टैग किए जा सकते हैं ताकि वे इन्हीं नियमों का पालन करें, और Access पेज हर व्यक्ति के लिए दिखाता है कि वह कौन सी बातचीत देखता है और हर तरह का डेटा कैसे देखता है। ID दस्तावेज़ या अन्य निजी डेटा रखने वाली फ़ाइलें थ्रेड से या किसी नियम से चिह्नित की जा सकती हैं, और फिर वे उसी अनुमति का पालन करती हैं: रोल के हिसाब से दिखाई, मास्क या छिपाई जाती हैं, कभी किसी AI प्रोवाइडर को नहीं भेजी जातीं, एक्सपोर्ट में सिर्फ़ उन लोगों के लिए सूचीबद्ध होती हैं जो उन्हें देखते हैं, और वर्कस्पेस द्वारा पहचान दस्तावेज़ों के लिए तय रिटेंशन अवधि के बाद डिलीट हो जाती हैं।

ऑडिट

हर बदलाव दर्ज करता है कि किसने, क्या, पहले और बाद में। किसी मास्क की हुई वैल्यू को दिखाना एक अलग अनुमति है और वैकल्पिक कारण के साथ अपनी ऑडिट एंट्री लिखता है, और Security policy पेज ऑडिट लॉग से लिंक करते हुए बताता है कि पिछले 30 दिनों में किसने क्या दिखाया। जब किसी ग्राहक की अपनी वेबसाइट साइन-इन के समय किसी संपर्क का नाम या ईमेल अपडेट करती है, या पहले की कोई गुमनाम चैट मर्ज करती है, तो बदलाव दर्ज होता है और संपर्क पर दिखाया जाता है। हर आने वाला ईमेल भी ठीक वैसा ही रखा जाता है जैसा वह आया था, डिफ़ॉल्ट रूप से 90 दिनों के लिए (एक वर्कस्पेस सेटिंग), और संपर्क मिटाए जाने पर तुरंत डिलीट हो जाता है; सिर्फ़ वही व्यक्ति कॉपी डाउनलोड कर सकता है जो इनबॉक्स संभालता है और पूरा संदेश बिना मास्क के पढ़ सकता है, और हर डाउनलोड ऑडिट होता है।

एन्क्रिप्शन

चैनल क्रेडेंशियल, SSO सीक्रेट, AI प्रोवाइडर की और टोकन envelope encryption से एट रेस्ट एन्क्रिप्ट होते हैं और सेव होने के बाद दोबारा कभी नहीं दिखाए जाते। ट्रांज़िट में हर जगह TLS इस्तेमाल होता है।

वेबसाइट चैट

कौन सी साइटें किसी वर्कस्पेस की चैट दिखा सकती हैं, यह खुद ब्राउज़र लागू करता है। विज़िटर तभी संपर्क बनता है जब कोई बातचीत होती है: गुमनाम विज़िटर को सिर्फ़ उसके ब्राउज़र में एक रैंडम टोकन से जाना जाता है, कोई browser fingerprinting नहीं, और साइन-इन किया हुआ विज़िटर जिसकी पहचान की पुष्टि उसकी साइट करती है, तब तक संपर्क नहीं बल्कि चैट सेशन के रूप में रखा जाता है जब तक वह लिखे नहीं, कोई एजेंट उससे चैट शुरू न करे या वह ईमेल न छोड़े; जो सेशन 30 दिनों तक नहीं दिखा (यह अवधि एक वर्कस्पेस सेटिंग है), वह डिलीट हो जाता है। ब्राउज़िंग संदर्भ सिर्फ़ पहले संदेश के साथ भेजा जाता है। ग्राहक की साइट साइन-इन विज़िटर की पहचान अपने सर्वर के सिग्नेचर से करती है, और चैट में टाइप किया गया ईमेल अपने-आप कभी दो लोगों को आपस में नहीं जोड़ता। हर वर्कस्पेस तय करता है कि विज़िटर के IP पते पूरे, छोटे करके या बिल्कुल नहीं स्टोर हों।

AI सहायता

तब तक बंद जब तक कोई एडमिनिस्ट्रेटर इसे Kommio Cloud के मुफ़्त AI अलाउंस पर या वर्कस्पेस की अपनी प्रोवाइडर की से चालू न करे। सिर्फ़ वही भेजा जाता है जो किसी काम के लिए ज़रूरी है: हाल के संदेश, ग्राहक का नाम, और ईमेल या फ़ोन सिर्फ़ तब जब पूछने वाला व्यक्ति उन्हें देख सकता हो। भुगतान और पहचान-दस्तावेज़ फ़ील्ड, संदेशों में टाइप किए गए कार्ड नंबर, जवाब के सुझावों के लिए निजी नोट, और कस्टम एट्रिब्यूट कभी नहीं भेजे जाते। Kommio कोई प्रॉम्प्ट या जवाब स्टोर नहीं करता, सिर्फ़ बजट के लिए उपयोग की गिनती। वैकल्पिक AI एजेंट सिर्फ़ आपके नॉलेज बेस से जवाब देता है, ग्राहकों को कभी अंदरूनी कंटेंट नहीं दिखाता, उसे संपर्कों के ईमेल या फ़ोन नंबर नहीं भेजे जाते, और अनिश्चित होने पर वह किसी व्यक्ति को सौंप देता है।

आने और जाने वाला भरोसा

प्रोवाइडर के वेबहुक पार्स करने से पहले सिग्नेचर से सत्यापित किए जाते हैं। ग्राहक के दिए URL (वेबहुक, बॉट, ऐप, AI प्रोवाइडर) पर जाने वाले अनुरोध एक ही SSRF-सुरक्षित क्लाइंट से गुज़रते हैं जो निजी रेंज को मना करता है और आकार व समय को सीमित करता है। बाहर जाने वाले वेबहुक, बॉट डिलीवरी और ऐप हुक साइन किए जाते हैं। HTML ईमेल बॉडी लिखते समय और दिखाते समय दोबारा सैनिटाइज़ की जाती है। सेल्फ़-होस्टेड इंस्टॉल में हर अपलोड की गई या प्राप्त फ़ाइल स्टोर होने से पहले ClamAV से स्कैन कराई जा सकती है: फ़्लैग की गई फ़ाइल मना कर दी जाती है या प्लेसहोल्डर से बदल दी जाती है और कभी दी नहीं जाती। यह डिफ़ॉल्ट रूप से बंद है, और Kommio Cloud अभी फ़ाइलें स्कैन नहीं करता।

ब्राउज़र

एजेंट ऐप सख़्त Content Security Policy के साथ दिया जाता है: सिर्फ़ same-origin स्क्रिप्ट, फ़ॉन्ट और कनेक्शन, कोई फ़्रेम या ऑब्जेक्ट नहीं, और इसे एम्बेड नहीं किया जा सकता। ऐप पैनल sandboxed iframe में साइन किए हुए, कम समय के संदर्भ के साथ चलते हैं।

ऑपरेशन

न्यूनतम-अधिकार वाले डेटाबेस रोल, हर बदलाव पर डिपेंडेंसी और कंटेनर स्कैनिंग, ऐसी रिलीज़ जो तभी शिप होती हैं जब पूरा टेस्ट सूट पास हो और पिछली रिलीज़ से अपग्रेड का अभ्यास हो चुका हो, और एक दस्तावेज़ीकृत डिस्क्लोज़र प्रक्रिया। Kommio Cloud बिना डाउनटाइम के डिप्लॉय होता है: नया वर्ज़न पुराने के बगल में शुरू होता है और तैयार होते ही काम संभाल लेता है। सेल्फ़-होस्टेड इंस्टॉल में बिल्ट-इन बैकअप हैं, डिफ़ॉल्ट रूप से बंद, जो शेड्यूल पर एन्क्रिप्टेड डेटाबेस डंप और स्टोर की गई फ़ाइलें डिस्क या बकेट में लिखते हैं; एन्क्रिप्शन की कभी बैकअप का हिस्सा नहीं होती। Kommio Cloud पर साइन-अप हर पते और ईमेल डोमेन के लिए रेट लिमिटेड है, और डिस्पोज़ेबल ईमेल पते मना किए जाते हैं। सेल्फ़-होस्टेड बैकअप हर हफ़्ते एक अस्थायी डेटाबेस में रिस्टोर करके जाँचे जाते हैं, ऐसा सफल न होने पर अलर्ट के साथ, और उन्हें ऑफ़लाइन रखी गई एस्क्रो की से भी एन्क्रिप्ट किया जा सकता है।

कमज़ोरी की रिपोर्ट करना

[email protected] पर ईमेल करें। हम दो बिज़नेस दिनों के भीतर पावती देते हैं और समस्या हल होने तक आपको जानकारी देते रहते हैं।