Panoramica sulla sicurezza

Isolamento dei tenant

Le righe di ogni spazio di lavoro sono separate tramite sicurezza a livello di riga applicata in Postgres, non solo nel codice dell'applicazione; gli indici di ricerca sono stati realizzati per funzionare sotto questa policy, non per aggirarla. I file caricati sono archiviati sotto chiavi per singolo spazio di lavoro e vengono serviti come download, a meno che non siano immagini; i file in una chat raggiungono i visitatori tramite link che scadono dopo dieci minuti. Uno spazio di lavoro sospeso o chiuso blocca in un colpo solo ogni chiave API, token di app e bot, sessione, chat e connessione in tempo reale. Le foto vengono archiviate senza la posizione, il dispositivo e gli altri metadati che i telefoni vi scrivono.

Identità

Le password sono sottoposte a hash con Argon2id. Ogni persona può attivare l'autenticazione a due fattori dalla pagina di sicurezza del proprio account: scansiona un codice QR generato nel browser, conferma con un codice e conserva i codici di recupero monouso; per disattivarla servono la password e un codice. La stessa pagina elenca ogni browser con accesso effettuato, per disconnetterne uno o tutti gli altri. Gli spazi di lavoro possono aggiungere i propri provider di single sign-on tramite OpenID Connect, limitati ai propri domini email; a chi ha attivato i due fattori viene comunque chiesto il codice. Gli amministratori possono rendere obbligatori i due fattori per ogni membro, subito o dopo un periodo di tolleranza di sette o quattordici giorni, e gli amministratori della piattaforma Kommio sono tenuti a usarli. Le sessioni sono lato server, con durata assoluta e per inattività. Chiavi API, token dei bot e token delle app sono memorizzati come hash, limitati a uno spazio di lavoro e a un insieme di permessi.

Autorizzazione

I ruoli decidono i permessi, quali conversazioni una persona può vedere, e se i campi sensibili come email, telefoni, dati di pagamento e indirizzi IP sono visibili, mascherati o nascosti. Nessuno può creare un ruolo, modificare un membro, invitare qualcuno o approvare un'app con più di quanto possiede. Le automazioni vengono eseguite con i permessi di chi le ha create; le app con gli ambiti che un amministratore ha approvato all'installazione. Disattivare o rimuovere un membro, restringerne il ruolo, revocare una chiave API o sospendere uno spazio di lavoro mostra prima cosa viene coinvolto e richiede di digitare l'email, il nome della chiave o il nome dello spazio di lavoro; regole, bot, webhook e app di un membro che se ne va possono essere affidati a un collega con i permessi necessari, e le regole il cui autore se n'è andato vanno in pausa finché qualcuno non le prende in carico. Gli attributi personalizzati che contengono documenti d'identità, dati di pagamento o altri dati personali possono essere contrassegnati perché seguano le stesse regole, e la pagina Accessi mostra, per ogni persona, quali conversazioni vede e come vede ogni tipo di dato. I file che contengono un documento d'identità o altri dati personali possono essere contrassegnati dal thread o da una regola, e da quel momento seguono la stessa concessione: mostrati, mascherati o nascosti in base al ruolo, mai inviati a un provider di IA, elencati nelle esportazioni solo per chi può vederli, ed eliminati dopo il periodo di conservazione che lo spazio di lavoro imposta per i documenti d'identità.

Audit

Ogni modifica registra chi, cosa, prima e dopo. Rivelare un valore mascherato è un permesso separato e scrive una propria voce di audit con un motivo facoltativo, e la pagina Policy di sicurezza elenca chi ha rivelato cosa negli ultimi 30 giorni, con il collegamento al registro di audit. Quando il sito di un cliente aggiorna il nome o l'email di un contatto all'accesso, o unisce una chat anonima precedente, la modifica viene registrata e mostrata sul contatto. Ogni email in arrivo viene anche conservata esattamente com'è arrivata, per 90 giorni per impostazione predefinita (un'impostazione dello spazio di lavoro), ed eliminata subito quando il contatto viene cancellato; solo chi gestisce le caselle e può leggere l'intero messaggio in chiaro può scaricarne una copia, e ogni download finisce nel registro di audit.

Crittografia

Le credenziali dei canali, i segreti SSO, le chiavi dei provider di IA e i token sono crittografati a riposo con envelope encryption e non vengono mai più mostrati dopo il salvataggio. Il TLS viene usato ovunque in transito.

Chat del sito

Quali siti possono mostrare la chat di uno spazio di lavoro è imposto dal browser stesso. Un visitatore diventa un contatto solo quando c'è una conversazione: un visitatore anonimo è conosciuto solo tramite un token casuale nel suo browser, senza fingerprinting del browser, e un visitatore con accesso effettuato, di cui il sito garantisce l'identità, viene tenuto come sessione di chat, non come contatto, finché non scrive, un agente non avvia una chat con lui o non lascia un'email; una sessione non vista per 30 giorni (il periodo è un'impostazione dello spazio di lavoro) viene eliminata. Il contesto di navigazione viene inviato solo con il primo messaggio. Il sito di un cliente identifica i visitatori con accesso effettuato con una firma dal proprio server, e un'email digitata nella chat non collega mai da sola due persone. Ogni spazio di lavoro decide se gli indirizzi IP dei visitatori vengono memorizzati per intero, abbreviati o per niente.

Assistenza IA

Disattivata finché un amministratore non la attiva, con l'allocazione gratuita di IA di Kommio Cloud o con la chiave del provider dello spazio di lavoro. Viene inviato solo ciò che serve a un'attività: i messaggi recenti, il nome del cliente, ed email o telefoni solo quando chi fa la richiesta può vederli. Campi di pagamento e documenti d'identità, numeri di carta digitati nei messaggi, note private per i suggerimenti di risposta e attributi personalizzati non vengono mai inviati. Kommio non memorizza prompt né risposte, solo i conteggi di utilizzo per il budget. L'agente IA opzionale risponde solo dalla tua base di conoscenza, non mostra mai contenuti interni ai clienti, non riceve email o numeri di telefono dei contatti e passa la conversazione a una persona quando non è sicuro.

Fiducia in entrata e in uscita

I webhook dei provider vengono verificati tramite firma prima di essere analizzati. Le richieste in uscita verso URL forniti dal cliente (webhook, bot, app, provider di IA) passano attraverso un unico client protetto da SSRF che rifiuta gli intervalli privati e limita dimensione e tempo. I webhook in uscita, le consegne ai bot e gli hook delle app sono firmati. I corpi delle email in HTML vengono sanificati al momento della scrittura e di nuovo al momento della visualizzazione. Le installazioni self-hosted possono far analizzare da ClamAV ogni file caricato o ricevuto prima di archiviarlo: un file segnalato viene rifiutato o sostituito da un segnaposto e non viene mai servito. È disattivato per impostazione predefinita, e Kommio Cloud non analizza ancora i file.

Browser

L'app dell'agente viene servita con una Content Security Policy rigorosa: script, font e connessioni solo dalla stessa origine, nessun frame o oggetto, e non può essere incorporata. I pannelli delle app girano in iframe sandboxed con un contesto firmato e di breve durata.

Operazioni

Ruoli del database a privilegio minimo, scansione delle dipendenze e dei container a ogni modifica, release che vengono pubblicate solo dopo che l'intera suite di test è passata e un aggiornamento dalle release precedenti è stato provato, e un processo di divulgazione documentato. Kommio Cloud si aggiorna senza interruzioni: la nuova versione si avvia accanto alla vecchia e prende il suo posto quando è pronta. Le installazioni self-hosted hanno backup integrati, disattivati per impostazione predefinita, che scrivono un dump crittografato del database e i file archiviati su un disco o in un bucket secondo una pianificazione; la chiave di crittografia non fa mai parte di un backup. Su Kommio Cloud, la registrazione ha limiti di frequenza per indirizzo e per dominio email, e gli indirizzi email usa e getta vengono rifiutati. I backup self-hosted vengono ripristinati ogni settimana in un database di prova e verificati, con un avviso quando non riesce, e possono anche essere crittografati per una chiave di deposito conservata offline.

Segnalare una vulnerabilità

Scrivi a [email protected]. Confermiamo la ricezione entro due giorni lavorativi e ti teniamo informato fino alla risoluzione del problema.