/securityהבקרות, אחת אחת

מוגדרת היטב.

כל שאילתת מסד נתונים מוגבלת לארגון ולפרויקט שלך

הצפנה, בקרת גישה, בידוד דיירים (tenant isolation) ושביל ביקורת, כאשר כל אחד מהם מציין את המנגנון שאוכף אותו. הדברים שבטרם בנינו רשומים כאן כפערים.

tls 1.2 ומעלה במעבר
webhooks חתומים באמצעות hmac
שורות ביקורת הוספה בלבד (append-only)
ארבעה תפקידים, חמש יכולות אסימון

הבקרות

הצפנה, גישה, בידוד וביקורת.

כל אריח מציין את המנגנון שהופך אותו לאמיתי, והאריח שמציין פער הוא השימושי ביותר בדף

AES-256

מוצפן לפני שהוא עוזב את המארח

גיבויי מסד הנתונים מוצפנים ביציאה. מאגר גיבוי הקבצים מוצפן באמצעות סיסמה ומסרב לפעול ללא המפתח שלו. פרטי כניסה לאפליקציות מחוברות וסודות webhook מאוחסנים כעמודות מוצפנות. אסימוני פריסה מאוחסנים כ-hash SHA-256 ומוצגים פעם אחת, בעת היצירה. הדיסקים החיים אינם מוצפנים ברמת הנפח, מכיוון שעדיין לא בנינו זאת, ועליכם ללמוד על כך כאן ולא במהלך בדיקת נאותות.

חתום ביציאה

webhooks יוצאים חתומים באמצעות HMAC-SHA256 מעל חותמת הזמן וגוף ההודעה. חותמת הזמן נשלחת גם היא, כך שתוכלו לאכוף חלון שימוש חוזר משלכם.

POST /hooks/translations

X-Transglot-Timestamp: 1756...

X-Transglot-Signature: hmac-sha256

signed over (timestamp, body)

compared with hash_equals

זהות וגישה

ארבעה תפקידי סביבת עבודה בכל תוכנית, כולל חינמית: מנהל, מפתח, מבקר ומתרגם, בנוסף לבעלי חשבון וחברי חיוב. הרשאות לכל פרויקט ולכל שפה יושבות מעליהן, כך שפרילנסר יכול לקבל שפה אחת בלבד ולא לראות דבר אחר. כניסת SAML 2.0 עם אספקה just-in-time ואספקת SCIM 2.0 כלולות בתוכנית Enterprise, וכניסה באמצעות סיסמה ניתנת לכיבוי עבור כל סביבת העבודה.

בידוד דיירים (Tenancy)

כל שאילתה מתוחמת לארגון ולפרויקט שלכם. מזהה השייך למישהו אחר מחזיר 404 במקום 403, כך שקיום סביבת עבודה אחרת לעולם אינו נחשף. מאגר הזיכרון המשותף להתאמה מדויקת הוא החריג המכוון היחיד, וכל פרויקט יכול לצאת ממנו באמצעות מתג.

נתיב הביקורת

שינויי תפקידים, יצירת אסימונים, שינויי חיוב, תצורת SSO וכניסות SSO מתועדות, והשורות אינן ניתנות לעריכה או מחיקה: המודל זורק שגיאה בשני המקרים. כניסות באמצעות סיסמה אינן כלולות בנתיב הביקורת כיום. בעלים ומנהלים בתוכנית Enterprise מייצאים את כל נתיב הביקורת כ-CSV. אין שרשרת hash ואין חתימה קריפטוגרפית, כך שאין כאן טענה לחסינות מפני שינויים.

זמינות וקרדיטים

איננו מפרסמים כאן אחוז כלשהו, מכיוון שכל מספר שננקוב יהיה המילה שלנו לגבי הזמינות שלנו. תוכניות Business ו-Enterprise כוללות יעד זמינות חודשי חוזי עם לוח זמנים לקרדיט שירות, ולוח זמנים זה הוא הסכם רמת השירות (SLA).

המצב האמיתי של הציות לתקנות

אותן ארבע שורות שקוראים דף האמון ומרכז האמון, מאותו תצורה. חותמת יכולה לומר "מוחזקת" רק כאשר ערך בוליאני מאשר זאת, וכיום אף אחת מהן אינה עושה זאת.

SOC 2 Type II: ביקורת בתהליך
ISO/IEC 42001 (AI management): בתהליך השגה
GDPR: תואם, ללא הסמכה
CCPA / CPRA: תואם, ללא הסמכה

התשובות הקצרות

מה שמבקרת שואלת, נענה ראשון.

השאלות איתן נפתחת סקירת אבטחה, והתשובות, בסדר שבו הן מגיעות בדרך כלל. כל שורה היא בקרה בבסיס הקוד ולא טענה לגביו. השורה האחרונה היא פער, והיא נשארת כאן עד שתפסיק להיות נכונה.

אין ציטוט ממצאים, כי עדיין אין דוח צד שלישי
אין רמז להסמכה: טבלת הציות ב-/trust קוראת מתוך התצורה
מחקר בתום לב לעולם אינו נתקל בעורכי דין

שלחו מייל ל-security@transglot.ai מרכז האמון

illustrative output. this page runs no scan, of you or of us

הערות מצב, להמחשה

מה שסקירת אבטחה מבקשת קודם כל

tls 1.2 ומעלה, נדחה מתחת לסף זה בקצה

webhooks hmac-sha256 על חותמת זמן וגוף

tokens מאוחסנים כ-hash sha-256, מוצגים פעם אחת

tenancy כל שאילתה מוגבלת לפי ארגון ופרויקט

abilities חמש באסימון פרויקט, שלוש ב-deploy

roles ארבע, בכל תוכנית כולל החינמית

audit append-only בשכבת המודל, ללא שרשרת

memory מאגר התאמה מדויקת משותף אחד, כבוי לכל פרויקט

at rest נפחים חיים אינם מוצפנים בדיסק. גיבויים הם aes-256.

שאלות נפוצות

הרשימה שבדרך כלל מגיעה עם סקירת אבטחה.

האם הנתונים שלי מוצפנים?

בהעברה, כן: TLS 1.2 או טוב יותר, וכל גרסה ישנה יותר נדחית בקצה. במנוחה, גיבויי מסד הנתונים מוצפנים עם AES-256 ביציאה ומאגר קובצי הגיבוי מוצפן בסיסמה. נפחי מסד הנתונים החיים אינם מוצפנים בדיסק כיום.

האם יש לכם הסמכת SOC 2?

עדיין לא. ביקורת SOC 2 Type II בעיצומה: ראשית מוכנות, ואז חלון התצפית. כיום אין לנו הסמכת אבטחה של צד שלישי, והסמלים לעיל נשאבים ממשתנה config שלא יכול לומר "מוחזק" עד שתהיה כזו.

האם אתם מאמנים מודלי AI על התוכן שלי?

לא, בכל תוכנית. המחרוזות שלכם נשלחות לספקים המצוינים במרכז האמון לצורך תרגום ולשום דבר אחר, בכפוף לתנאים מסחריים. רישום השימוש מתעד ספירת אסימונים, לעולם לא את הטקסט.

איך אתם מונעים מלקוח אחד לראות לקוח אחר?

כל שאילתה מוגבלת לארגון ולפרויקט שלכם, ומזהה שאינו שלכם מחזיר 404 ולא 403, כך שקיום סביבת עבודה אחרת אינו נחשף. מאגר זיכרון התרגום להתאמה מדויקת המשותף הוא החריגה המכוונת היחידה; הוא אינו נושא בעלות כלל, וכל פרויקט יכול לעזוב אותו באמצעות מתג אחד.

Do you support SAML SSO, SCIM and enforced sign-in?

Yes, on Enterprise: SAML 2.0 with just-in-time provisioning, SCIM 2.0 provisioning, and the option to switch password login off for the whole workspace. Four workspace roles plus per-project and per-language grants are on every plan, Free included.

האם אתם מנהלים יומן ביקורת, והאם ניתן לייצא אותו?

שינויי תפקידים, יצירת אסימון, שינויי חיוב, תצורת SSO וכניסות SSO מתועדים כולם, והשורות אינן ניתנות לעריכה או מחיקה. כניסות באמצעות סיסמה אינן כלולות במסלול כיום. בעלים ומנהלים ב-Enterprise מייצאים את כל המסלול כ-CSV. אין שרשרת hash ואין חתימה, ולכן איננו מכנים זאת כהוכחת שיבוש.

האם ערכתם בדיקת חדירה?

אין לנו דוח של צד שלישי לצטט. כאשר יהיה כזה, הוא יצוין כאן עם תאריך והיקף במקום לסכם אותו כמספר ממצאים.

איך מדווחים על פגיעות אבטחה, והאם משלמים פרס?

יש לשלוח הודעה ל-security@transglot.ai. מחקר בתום לב בהתאם למדיניות שפורסמה כולל הגנה כתובה, אישור תוך שלושה ימי עסקים והערכה ראשונית תוך עשרה ימי עסקים. נכון להיום אין תשלום פרס.

איך מאוחסנים ומוגדרים טוקנים של API?

טוקן פרויקט מאוחסן כ-hash SHA-256 ומוצג פעם אחת בלבד, בעת היצירה. לטוקני פרויקט יש חמש הרשאות ולטוקני פריסה שלוש, כך שטוקן המועבר ל-CI יכול להיות מצומצם יותר מהאדם שיצר אותו. טוקנים הם תכונה זמינה בתוכניות בתשלום: התוכנית החינמית אינה מאפשרת יצירת טוקן.

עובד עם מה שכבר מופעל אצלך