Cómo Transglot está protegido.
delimitado.
Cómo Transglot está protegido.
Cifrado, control de acceso, aislamiento de inquilinos y la pista de auditoría, cada uno nombrando el mecanismo que lo aplica. Las cosas que no hemos construido están escritas aquí como brechas.
- tls 1.2 o superior en tránsito
- webhooks firmados con hmac
- filas de auditoría de solo anexión
- cuatro roles, cinco capacidades de token
Cifrado, acceso, aislamiento y auditoría.
Cifrado antes de salir del host
Las copias de seguridad de la base de datos están cifradas al exportarse. El repositorio de archivos de copia de seguridad está cifrado con contraseña y se niega a ejecutarse sin su clave. Las credenciales de aplicaciones conectadas y los secretos de webhook se almacenan como columnas cifradas. Los tokens de despliegue se almacenan como un hash SHA-256 y se muestran una sola vez, en el momento de la creación. Los discos activos no están cifrados a nivel de volumen, porque no hemos implementado eso, y debes conocerlo aquí en lugar de durante la diligencia debida.
Firmado al salir
Los webhooks salientes están firmados con HMAC-SHA256 sobre la marca de tiempo y el cuerpo. La marca de tiempo también se envía, para que puedas aplicar tu propia ventana de repetición.
Identidad y acceso
Cuatro roles de espacio de trabajo en cada plan, incluido el gratuito: administrador, desarrollador, revisor y traductor, además de propietarios de cuenta y miembros de facturación. Los permisos por proyecto y por idioma se superponen, por lo que se puede asignar un idioma a un freelancer y no verá nada más. El inicio de sesión SAML 2.0 con aprovisionamiento justo a tiempo y el aprovisionamiento SCIM 2.0 están disponibles en Enterprise, y el inicio de sesión con contraseña se puede desactivar para todo el espacio de trabajo.
Aislamiento de inquilinos
Cada consulta está limitada a tu organización y proyecto. Un ID perteneciente a otra persona responde con 404 en lugar de 403, por lo que la existencia de otro espacio de trabajo nunca se filtra. El grupo de memoria compartido de coincidencia exacta es la única excepción deliberada, y cualquier proyecto puede abandonarlo con un interruptor.
El registro de auditoría
Los cambios de rol, la creación de tokens, los cambios de facturación, la configuración de SSO y los inicios de sesión de SSO se registran, y las filas no se pueden editar ni eliminar: el modelo lanza una excepción en ambos casos. Los inicios de sesión con contraseña no están en el registro hoy. Los propietarios y administradores en Enterprise exportan todo el registro como CSV. No hay cadena de hashes ni firma criptográfica, por lo que nada aquí dice ser evidente ante manipulación.
Tiempo de actividad y créditos
No publicamos ningún porcentaje aquí, porque cualquier cifra que escribiéramos sería nuestra palabra sobre nuestra propia disponibilidad. Business y Enterprise cuentan con un objetivo contractual mensual de tiempo de actividad con un cronograma de créditos de servicio, y ese cronograma es el SLA.
Dónde se encuentra realmente el cumplimiento normativo
Las mismas cuatro filas que leen la página de confianza y el centro de confianza, desde la misma configuración. Un sello solo puede decir "mantenido" cuando un booleano lo indica, y hoy ninguno de ellos lo hace.
- SOC 2 Type II: auditoría en curso
- ISO/IEC 42001 (AI management): en proceso
- GDPR: alineado, no certificado
- CCPA / CPRA: alineado, no certificado
Lo que pregunta un revisor, respondido primero.
Las preguntas con las que comienza una revisión de seguridad, y las respuestas, en el orden en que suelen llegar. Cada línea es un control en la base de código en lugar de una afirmación sobre uno. La última línea es una brecha, y permanece aquí hasta que deje de ser cierta.
- sin hallazgos citados, porque aún no hay un informe de terceros
- sin certificación implícita: la tabla de cumplimiento en /trust lee desde la configuración
- la investigación de buena fe nunca es recibida con abogados
Preguntas frecuentes
La lista que suele llegar con una revisión de seguridad.
