Izolacja najemców

Wiersze każdej przestrzeni roboczej są oddzielone przez zabezpieczenia na poziomie wiersza egzekwowane w Postgresie, a nie tylko w kodzie aplikacji; indeksy wyszukiwania zostały zbudowane tak, by działać zgodnie z tą polityką, a nie ją omijać. Przesłane pliki są przechowywane pod kluczami przypisanymi do przestrzeni roboczej i udostępniane jako pobrania, chyba że są obrazami; pliki w czacie trafiają do odwiedzających przez linki, które wygasają po dziesięciu minutach. Zawieszona lub zamknięta przestrzeń robocza od razu zatrzymuje każdy klucz API, token aplikacji i bota, sesję, czat i połączenie na żywo. Zdjęcia są przechowywane bez lokalizacji, danych urządzenia i innych metadanych, które zapisują w nich telefony.

Tożsamość

Hasła są haszowane algorytmem Argon2id. Każda osoba może włączyć uwierzytelnianie dwuskładnikowe na stronie bezpieczeństwa swojego konta: zeskanować kod QR generowany w przeglądarce, potwierdzić kodem i zachować jednorazowe kody odzyskiwania; wyłączenie wymaga hasła i kodu. Ta sama strona pokazuje każdą zalogowaną przeglądarkę, aby wylogować jedną lub wszystkie pozostałe. Przestrzenie robocze mogą dodać własnych dostawców jednokrotnego logowania przez OpenID Connect, ograniczonych do swoich domen e-mail; każdy, kto włączył uwierzytelnianie dwuskładnikowe, nadal jest proszony o kod. Administratorzy mogą wymagać uwierzytelniania dwuskładnikowego od każdego członka zespołu, od razu lub po siedmio- albo czternastodniowym okresie przejściowym, a administratorzy platformy Kommio muszą z niego korzystać. Sesje żyją po stronie serwera, z bezwzględnym czasem życia i limitem bezczynności. Klucze API, tokeny botów i tokeny aplikacji są przechowywane jako hashe, ograniczone do jednej przestrzeni roboczej i jednego zestawu uprawnień.

Autoryzacja

Role decydują o uprawnieniach, o tym, jakie rozmowy widzi dana osoba, oraz czy wrażliwe pola, takie jak e-maile, telefony, dane płatności i adresy IP, są widoczne, zamaskowane czy ukryte. Nikt nie może utworzyć roli, zmienić członka zespołu, zaprosić kogoś ani zatwierdzić aplikacji z większymi uprawnieniami, niż sam posiada. Automatyzacje działają z uprawnieniami osoby, która je utworzyła; aplikacje działają z zakresami, które administrator zatwierdził podczas instalacji. Wyłączenie lub usunięcie członka zespołu, zawężenie jego roli, unieważnienie klucza API lub zawieszenie przestrzeni roboczej najpierw pokazuje, na co to wpłynie, i wymaga wpisania adresu e-mail, nazwy klucza lub nazwy przestrzeni roboczej; reguły, boty, webhooki i aplikacje odchodzącej osoby można przekazać współpracownikowi z potrzebnymi uprawnieniami, a reguły, których autor odszedł, są wstrzymane, dopóki ktoś ich nie przejmie. Atrybuty niestandardowe zawierające dokumenty tożsamości, dane płatności lub inne dane osobowe można oznaczyć, aby podlegały tym samym regułom, a strona Dostęp pokazuje dla każdej osoby, które rozmowy widzi i jak widzi każdy rodzaj danych. Pliki zawierające dokument tożsamości lub inne dane osobowe można oznaczyć z poziomu wątku albo regułą, a wtedy podlegają tym samym uprawnieniom: pokazywane, zamaskowane lub ukryte w zależności od roli, nigdy nie wysyłane do dostawcy AI, uwzględniane w eksportach tylko dla osób, które je widzą, i usuwane po okresie przechowywania, jaki przestrzeń robocza ustali dla dokumentów tożsamości.

Audyt

Każda zmiana zapisuje kto, co, przed i po. Odsłonięcie zamaskowanej wartości to osobne uprawnienie i tworzy własny wpis w dzienniku audytu z opcjonalnym uzasadnieniem, a strona Polityka bezpieczeństwa pokazuje, kto co odsłonił w ciągu ostatnich 30 dni, z linkiem do dziennika audytu. Gdy własna strona klienta aktualizuje imię lub e-mail kontaktu przy logowaniu albo scala wcześniejszy anonimowy czat, zmiana jest zapisywana i widoczna przy kontakcie. Każdy przychodzący e-mail jest też przechowywany dokładnie w takiej postaci, w jakiej dotarł, domyślnie przez 90 dni (ustawienie przestrzeni roboczej), i usuwany od razu po usunięciu kontaktu; kopię może pobrać tylko osoba, która zarządza skrzynkami i może czytać całą wiadomość bez maskowania, a każde pobranie trafia do dziennika audytu.

Szyfrowanie

Dane uwierzytelniające kanałów, sekrety SSO, klucze dostawców AI i tokeny są szyfrowane w spoczynku szyfrowaniem kopertowym i po zapisaniu nigdy nie są pokazywane ponownie. TLS jest używany wszędzie podczas przesyłania.

Czat na stronie

To, które strony mogą wyświetlać czat przestrzeni roboczej, egzekwuje sama przeglądarka. Odwiedzający staje się kontaktem dopiero wtedy, gdy istnieje rozmowa: anonimowy odwiedzający jest znany tylko po losowym tokenie w swojej przeglądarce, bez fingerprintingu przeglądarki, a zalogowany odwiedzający, za którego tożsamość ręczy strona klienta, jest przechowywany jako sesja czatu, nie jako kontakt, dopóki nie napisze, agent nie rozpocznie z nim czatu albo nie zostawi adresu e-mail; sesja niewidziana przez 30 dni (okres jest ustawieniem przestrzeni roboczej) jest usuwana. Kontekst przeglądania jest wysyłany tylko z pierwszą wiadomością. Strona klienta rozpoznaje zalogowanych odwiedzających po podpisie z własnego serwera, a e-mail wpisany w czacie sam z siebie nigdy nie łączy dwóch osób. Każda przestrzeń robocza decyduje, czy adresy IP odwiedzających są przechowywane w całości, w skróconej formie, czy wcale.

Asystent AI

Wyłączony, dopóki administrator go nie włączy, na darmowym limicie AI w Kommio Cloud albo z własnym kluczem dostawcy przestrzeni roboczej. Wysyłane jest tylko to, czego wymaga zadanie: ostatnie wiadomości, imię klienta oraz e-maile i telefony tylko wtedy, gdy osoba pytająca może je widzieć. Pola płatności i dokumentów tożsamości, numery kart wpisane w wiadomościach, prywatne notatki w przypadku sugestii odpowiedzi oraz atrybuty niestandardowe nigdy nie są wysyłane. Kommio nie przechowuje promptów ani odpowiedzi, tylko liczniki użycia na potrzeby budżetu. Opcjonalny agent AI odpowiada wyłącznie na podstawie Twojej bazy wiedzy, nigdy nie pokazuje klientom treści wewnętrznych, nie otrzymuje adresów e-mail ani numerów telefonów kontaktów i przekazuje rozmowę człowiekowi, gdy nie ma pewności.

Zaufanie przychodzące i wychodzące

Webhooki dostawców są weryfikowane podpisem przed przetworzeniem. Żądania wychodzące do adresów URL podanych przez klientów (webhooki, boty, aplikacje, dostawcy AI) przechodzą przez jeden klient zabezpieczony przed SSRF, który odrzuca prywatne zakresy adresów i ogranicza rozmiar oraz czas. Webhooki wychodzące, dostawy do botów i hooki aplikacji są podpisywane. Treści e-maili w HTML są oczyszczane przy zapisie i ponownie przy wyświetlaniu. Instalacje self-hosted mogą skanować programem ClamAV każdy przesłany lub odebrany plik przed zapisaniem: wykryty plik jest odrzucany albo zastępowany informacją o usunięciu i nigdy nie jest udostępniany. Domyślnie jest to wyłączone, a Kommio Cloud jeszcze nie skanuje plików.

Przeglądarka

Aplikacja agenta jest serwowana z restrykcyjną Content Security Policy: skrypty, czcionki i połączenia tylko z tego samego pochodzenia, bez ramek i obiektów, i nie można jej osadzić. Panele aplikacji działają w izolowanych ramkach iframe, z podpisanym, krótkotrwałym kontekstem.

Operacje

Role bazodanowe z najmniejszymi możliwymi uprawnieniami, skanowanie zależności i kontenerów przy każdej zmianie, wydania publikowane dopiero wtedy, gdy przejdzie cały zestaw testów i zostanie przećwiczona aktualizacja z poprzednich wydań, oraz udokumentowany proces zgłaszania podatności. Kommio Cloud wdraża się bez przestojów: nowa wersja startuje obok starej i przejmuje ruch, gdy jest gotowa. Instalacje self-hosted mają wbudowane kopie zapasowe, domyślnie wyłączone, które według harmonogramu zapisują zaszyfrowany zrzut bazy danych i przechowywane pliki na dysk lub do bucketa; klucz szyfrowania nigdy nie jest częścią kopii zapasowej. W Kommio Cloud rejestracja ma limity dla każdego adresu i domeny e-mail, a jednorazowe adresy e-mail są odrzucane. Kopie zapasowe w instalacjach self-hosted są co tydzień odtwarzane do testowej bazy danych i sprawdzane, z alertem, gdy to się nie udaje, i mogą być też szyfrowane dla klucza depozytowego przechowywanego offline.

Zgłaszanie podatności

Napisz na [email protected]. Potwierdzamy odbiór w ciągu dwóch dni roboczych i informujemy Cię na bieżąco aż do rozwiązania problemu.

Przegląd bezpieczeństwa