Isolasi tenant

Baris data setiap ruang kerja dipisahkan oleh row-level security yang ditegakkan di Postgres, bukan hanya di kode aplikasi; indeks pencariannya pun dibuat agar bekerja di bawah kebijakan itu, bukan mengakalinya. Berkas yang diunggah disimpan dengan kunci per ruang kerja dan disajikan sebagai unduhan kecuali berupa gambar; berkas di dalam chat sampai ke pengunjung lewat tautan yang kedaluwarsa setelah sepuluh menit. Ruang kerja yang ditangguhkan atau ditutup menghentikan setiap kunci API, token aplikasi dan bot, sesi, chat, dan koneksi langsung sekaligus. Foto disimpan tanpa lokasi, perangkat, dan metadata lain yang ditulis ponsel ke dalamnya.

Identitas

Kata sandi di-hash dengan Argon2id. Setiap orang bisa mengaktifkan autentikasi dua faktor dari halaman keamanan akunnya: pindai kode QR yang digambar di peramban, konfirmasi dengan sebuah kode, dan simpan kode pemulihan sekali pakai; menonaktifkannya membutuhkan kata sandi dan sebuah kode. Halaman yang sama mencantumkan setiap peramban yang sedang masuk, untuk mengeluarkan satu per satu atau semua yang lain. Ruang kerja bisa menambahkan penyedia single sign-on sendiri melalui OpenID Connect, dibatasi pada domain email mereka; siapa pun yang sudah mengaktifkan dua faktor tetap diminta memasukkan kodenya. Administrator bisa mewajibkan dua faktor untuk setiap anggota, langsung atau setelah masa tenggang tujuh atau empat belas hari, dan administrator platform Kommio sendiri wajib menggunakannya. Sesi disimpan di sisi server, dengan batas masa berlaku absolut maupun saat menganggur. Kunci API, token bot, dan token aplikasi disimpan sebagai hash, terbatas pada satu ruang kerja dan satu set izin.

Otorisasi

Peran menentukan izin, percakapan mana yang bisa dilihat seseorang, dan apakah kolom sensitif seperti email, nomor telepon, detail pembayaran, dan alamat IP terlihat, disamarkan, atau disembunyikan. Tidak ada yang bisa membuat peran, mengubah anggota, mengundang seseorang, atau menyetujui aplikasi dengan hak melebihi yang ia miliki sendiri. Otomatisasi berjalan dengan izin milik orang yang membuatnya; aplikasi berjalan dengan cakupan yang disetujui administrator saat pemasangan. Menonaktifkan atau menghapus anggota, mempersempit perannya, mencabut kunci API, atau menangguhkan ruang kerja akan menampilkan dampaknya lebih dulu dan meminta email, nama kunci, atau nama ruang kerja diketik; aturan, bot, webhook, dan aplikasi milik anggota yang pergi bisa diserahkan ke rekan yang memiliki izin yang diperlukan, dan aturan yang pembuatnya sudah pergi dijeda sampai ada yang mengambil alih. Atribut khusus yang berisi dokumen identitas, detail pembayaran, atau data pribadi lainnya bisa ditandai agar mengikuti aturan yang sama, dan halaman Akses menunjukkan, untuk setiap orang, percakapan mana yang ia lihat dan bagaimana ia melihat setiap jenis data. Berkas yang berisi dokumen identitas atau data pribadi lainnya bisa ditandai dari utas atau oleh sebuah aturan, lalu mengikuti hak yang sama: ditampilkan, disamarkan, atau disembunyikan menurut peran, tidak pernah dikirim ke penyedia AI, tercantum dalam ekspor hanya bagi orang yang boleh melihatnya, dan dihapus setelah masa retensi yang ditetapkan ruang kerja untuk dokumen identitas.

Audit

Setiap perubahan mencatat siapa, apa, sebelum, dan sesudah. Membuka nilai yang disamarkan adalah izin tersendiri dan menulis entri auditnya sendiri dengan alasan opsional, dan halaman Kebijakan keamanan mencantumkan siapa membuka apa dalam 30 hari terakhir, tertaut ke log audit. Ketika situs web milik pelanggan memperbarui nama atau email sebuah kontak saat proses masuk, atau menggabungkan chat anonim sebelumnya, perubahan itu dicatat dan ditampilkan pada kontak tersebut. Setiap email masuk juga disimpan persis seperti saat tiba, 90 hari secara default (pengaturan ruang kerja), dan langsung dihapus saat kontaknya dihapus; hanya orang yang mengelola kotak masuk dan boleh membaca seluruh pesan tanpa disamarkan yang dapat mengunduh salinannya, dan setiap unduhan tercatat di audit.

Enkripsi

Kredensial kanal, rahasia SSO, kunci penyedia AI, dan token dienkripsi saat disimpan dengan envelope encryption dan tidak pernah ditampilkan lagi setelah disimpan. TLS digunakan di seluruh jalur transmisi.

Chat situs web

Situs mana yang boleh menampilkan chat sebuah ruang kerja ditegakkan oleh peramban itu sendiri. Pengunjung baru menjadi kontak ketika ada percakapan: pengunjung anonim hanya dikenali lewat token acak di peramban mereka, tanpa browser fingerprinting, dan pengunjung yang sudah masuk, yang identitasnya dijamin situsnya, disimpan sebagai sesi chat, bukan kontak, sampai ia menulis, seorang agen memulai chat dengannya, atau ia meninggalkan email; sesi yang tidak terlihat selama 30 hari (jangka waktunya adalah pengaturan ruang kerja) dihapus. Konteks penjelajahan hanya dikirim bersama pesan pertama. Situs pelanggan mengenali pengunjung yang sudah masuk dengan tanda tangan dari servernya sendiri, dan email yang diketik di chat tidak pernah dengan sendirinya menautkan dua orang. Setiap ruang kerja menentukan apakah alamat IP pengunjung disimpan utuh, dipersingkat, atau tidak disimpan sama sekali.

Bantuan AI

Nonaktif sampai administrator mengaktifkannya, dengan jatah AI gratis dari Kommio Cloud atau dengan kunci penyedia milik ruang kerja sendiri. Hanya yang dibutuhkan sebuah tugas yang dikirim: pesan terbaru, nama pelanggan, serta email atau nomor telepon hanya jika orang yang meminta boleh melihatnya. Kolom pembayaran dan dokumen identitas, nomor kartu yang diketik di pesan, catatan privat untuk saran balasan, dan atribut khusus tidak pernah dikirim. Kommio tidak menyimpan prompt maupun jawaban, hanya jumlah pemakaian untuk anggaran. Agen AI opsional hanya menjawab dari basis pengetahuan Anda, tidak pernah menampilkan konten internal kepada pelanggan, tidak menerima email atau nomor telepon kontak, dan mengalihkan ke manusia saat ragu.

Kepercayaan masuk dan keluar

Webhook dari penyedia diverifikasi lewat tanda tangan sebelum diurai. Permintaan keluar ke URL yang diberikan pelanggan (webhook, bot, aplikasi, penyedia AI) melewati satu klien aman-SSRF yang menolak rentang alamat privat serta membatasi ukuran dan waktu. Webhook keluar, pengiriman ke bot, dan hook aplikasi ditandatangani. Isi email HTML dibersihkan saat disimpan dan sekali lagi saat ditampilkan. Instalasi self-hosted dapat memindai setiap berkas yang diunggah atau diterima dengan ClamAV sebelum disimpan: berkas yang terdeteksi ditolak atau diganti dengan penanda dan tidak pernah disajikan. Fitur ini nonaktif secara default, dan Kommio Cloud belum memindai berkas.

Peramban

Aplikasi agen disajikan dengan Content Security Policy yang ketat: skrip, font, dan koneksi hanya dari origin yang sama, tanpa frame atau objek, dan tidak bisa disematkan di situs lain. Panel aplikasi berjalan di dalam iframe tersandbox dengan konteks bertanda tangan yang berumur pendek.

Operasional

Peran basis data dengan hak akses seminimal mungkin, pemindaian dependensi dan kontainer pada setiap perubahan, rilis yang hanya diluncurkan setelah seluruh rangkaian pengujian lolos dan pembaruan dari rilis-rilis sebelumnya sudah digladi, serta proses pengungkapan yang terdokumentasi. Kommio Cloud diterapkan tanpa waktu henti: versi baru dijalankan di samping yang lama dan mengambil alih begitu siap. Instalasi self-hosted memiliki pencadangan bawaan, nonaktif secara default, yang menulis dump basis data terenkripsi dan berkas yang tersimpan ke disk atau bucket sesuai jadwal; kunci enkripsinya tidak pernah menjadi bagian dari cadangan. Di Kommio Cloud, pendaftaran dibatasi lajunya per alamat dan per domain email, dan alamat email sekali pakai ditolak. Cadangan self-hosted dipulihkan ke basis data uji setiap minggu lalu diperiksa, dengan peringatan bila gagal, dan juga dapat dienkripsi untuk kunci escrow yang disimpan offline.

Melaporkan kerentanan

Kirim email ke [email protected]. Kami mengonfirmasi dalam dua hari kerja dan terus mengabari Anda sampai masalahnya selesai.

Ikhtisar keamanan