Wie Transglot gesichert ist.
bereichsgebunden.
Wie Transglot gesichert ist.
Verschlüsselung, Zugriffskontrolle, Mandantenisolierung und Audit-Trail – jeder Begriff benennt den Mechanismus, der ihn durchsetzt. Die Funktionen, die wir noch nicht entwickelt haben, sind hier als Lücken aufgeführt.
- TLS 1.2 oder höher während der Übertragung
- HMAC-signierte Webhooks
- Nur-Anhängen-Audit-Zeilen
- vier Rollen, fünf Token-Berechtigungen
Verschlüsselung, Zugriff, Isolierung und Audit.
Verschlüsselt, bevor es den Host verlässt
Datenbank-Backups werden beim Export verschlüsselt. Das Dateibackup-Repository ist passwortverschlüsselt und startet nicht ohne seinen Schlüssel. Anmeldedaten für verbundene Apps und Webhook-Secrets werden in verschlüsselten Spalten gespeichert. Deploy-Tokens werden als SHA-256-Hash gespeichert und nur einmal bei der Erstellung angezeigt. Die Live-Laufwerke sind nicht auf Volume-Ebene verschlüsselt, da wir dies noch nicht implementiert haben – Sie sollten dies hier erfahren und nicht erst während der Due Diligence.
Beim Senden signiert
Ausgehende Webhooks werden mit HMAC-SHA256 über Zeitstempel und Body signiert. Der Zeitstempel wird ebenfalls gesendet, sodass Sie Ihr eigenes Replay-Fenster erzwingen können.
Identität und Zugriff
Vier Workspace-Rollen in jedem Tarif, einschließlich Free: Administrator, Entwickler, Prüfer und Übersetzer, plus Kontoinhaber und Abrechnungsmitglieder. Projekt- und sprachspezifische Berechtigungen kommen hinzu, sodass ein Freelancer nur eine Sprache zugewiesen bekommt und nichts anderes sieht. SAML 2.0-Anmeldung mit Just-in-Time-Bereitstellung und SCIM 2.0-Bereitstellung sind im Enterprise-Tarif enthalten, und die Passwortanmeldung kann für das gesamte Workspace deaktiviert werden.
Mandantenisolierung
Jede Abfrage ist auf Ihre Organisation und Ihr Projekt beschränkt. Eine ID, die zu jemand anderem gehört, liefert 404 statt 403, sodass die Existenz eines anderen Workspaces nie preisgegeben wird. Der gemeinsame Exact-Match-Speicherpool ist die einzige bewusste Ausnahme, und jedes Projekt kann ihn per Schalter verlassen.
Der Audit-Trail
Rollenänderungen, Token-Erstellung, Rechnungsänderungen, SSO-Konfiguration und SSO-Anmeldungen werden aufgezeichnet. Die Einträge können nicht bearbeitet oder gelöscht werden: Das Modell löst in beiden Fällen einen Fehler aus. Passwort-Anmeldungen sind derzeit nicht im Protokoll enthalten. Inhaber und Administratoren auf Enterprise-Ebene können das gesamte Protokoll als CSV exportieren. Es gibt keine Hash-Kette und keine kryptografische Signatur, daher ist hier keine manipulationssichere Nachweisbarkeit gegeben.
Verfügbarkeit und Gutschriften
Wir veröffentlichen hier keinen Prozentsatz, da jede von uns genannte Zahl lediglich unsere eigene Einschätzung der Verfügbarkeit wäre. Business- und Enterprise-Pläne haben ein vertraglich vereinbartes monatliches Verfügbarkeitsziel mit einem Zeitplan für Servicegutschriften, und dieser Zeitplan stellt die SLA dar.
Wo Compliance tatsächlich steht
Dieselben vier Zeilen, die auch auf der Trust-Seite und im Trust Center erscheinen, basierend auf derselben Konfiguration. Ein Siegel kann nur dann als „vorhanden“ gelten, wenn ein boolescher Wert dies bestätigt – und das ist heute bei keinem der Fall.
- SOC 2 Type II: Audit läuft
- ISO/IEC 42001 (AI management): Angestrebt
- GDPR: Konform, nicht zertifiziert
- CCPA / CPRA: Konform, nicht zertifiziert
Was ein Prüfer fragt, zuerst beantwortet.
Die Fragen, mit denen eine Sicherheitsprüfung beginnt, und die Antworten dazu, in der Reihenfolge, in der sie üblicherweise eingehen. Jede Zeile ist eine Kontrolle im Codebase und keine bloße Behauptung. Die letzte Zeile markiert eine Lücke, die hier bleibt, bis sie nicht mehr zutrifft.
- keine zitierten Befunde, da noch kein Bericht eines Drittanbieters vorliegt
- keine Zertifizierung impliziert: Die Compliance-Tabelle unter /trust liest Daten aus der Konfiguration
- Forschung in gutem Glauben wird niemals mit Anwälten beantwortet
FAQs
Die Liste, die bei einer Sicherheitsprüfung üblicherweise vorliegt.
