/securitykontrollene, én etter én

avgrenset.

hver databaseforespørsel er avgrenset til din organisasjon og ditt prosjekt

Kryptering, tilgangskontroll, leietakerisolering og revisjonsspor, hvor hver enkelt navngir mekanismen som håndhever den. Tingene vi ikke har bygget, er skrevet ned her som gap.

TLS 1.2 eller bedre under overføring
HMAC-signerte webhooks
append-only revisjonsrader
fire roller, fem token-evner

kontrollene

Kryptering, tilgang, isolering og revisjon.

hver flis navngir mekanismen som gjør det sant, og flisen som navngir et gap er den mest nyttige på siden

AES-256

Kryptert før det forlater verten

Databasesikkerhetskopier krypteres på vei ut. Filarkivet for sikkerhetskopier er passordkryptert og nekter å kjøre uten nøkkelen. Legitimasjon for tilkoblede apper og webhook-hemmeligheter lagres som krypterte kolonner. Distribusjonsnøkler lagres som en SHA-256-hash og vises én gang, ved opprettelse. De aktive diskene er ikke kryptert på volumnivå, fordi vi ikke har bygget det, og du bør lære det her snarere enn i due diligence.

Signert på vei ut

Utgående webhooks signeres med HMAC-SHA256 over tidsstempelet og innholdet. Tidsstempelet sendes også, slik at du kan håndheve ditt eget replay-vindu.

POST /hooks/translations

X-Transglot-Timestamp: 1756...

X-Transglot-Signature: hmac-sha256

signed over (timestamp, body)

compared with hash_equals

Identitet og tilgang

Fire arbeidsomrolleroller på alle planer, inkludert Gratis: administrator, utvikler, korrekturleser og oversetter, pluss kontoeiere og faktureringsmedlemmer. Prosjekt- og språkspesifikke rettigheter legges på toppen, slik at en frilanser kan få ett språk og ikke se noe annet. SAML 2.0-pålogging med just-in-time-provisjonering og SCIM 2.0-provisjonering leveres på Enterprise, og passordpålogging kan slås av for hele arbeidsområdet.

Leietakerisolering

Hver spørring er begrenset til din organisasjon og ditt prosjekt. En ID som tilhører noen andre svarer med 404 i stedet for 403, slik at eksistensen av et annet arbeidsområde aldri lekker. Den delte nøyaktige treff-minnepoolen er det ene bevisste unntaket, og ethvert prosjekt kan forlate den med en bryter.

Revisjonssporet

Rolleendringer, tokenopprettelse, faktureringsendringer, SSO-konfigurasjon og SSO-pålogginger registreres, og radene kan ikke redigeres eller slettes: modellen kaster feil på begge deler. Passordpålogginger er ikke i sporet i dag. Eiere og administratorer på Enterprise eksporterer hele sporet som CSV. Det er ingen hash-kjede og ingen kryptografisk signatur, så ingenting her sier tamper-evident.

Oppetid og kreditter

Vi publiserer ingen prosentandel her, fordi enhver figur vi skrev ned ville vært vårt ord for vår egen tilgjengelighet. Business og Enterprise har et kontraktsfestet månedlig oppetimål med en tjenestekredittplan, og den planen er SLA-en.

Hvor samsvar faktisk står

De samme fire radene som tillitssiden og tillitssenteret leser, fra samme konfigurasjon. Et stempel kan bare si «gjeldende» når en boolsk verdi sier det, og i dag gjør ingen av dem det.

SOC 2 Type II: revisjon pågår
ISO/IEC 42001 (AI management): under arbeid
GDPR: tilpasset, ikke sertifisert
CCPA / CPRA: tilpasset, ikke sertifisert

de korte svarene

Det en revisor spør om, besvart først.

Spørsmålene en sikkerhetsgjennomgang starter med, og svarene, i den rekkefølgen de vanligvis kommer. Hver linje er en kontroll i kodebasen snarere enn et krav om én. Den siste linjen er et gap, og den blir her til den slutter å være sann.

ingen funn sitert, fordi det ikke finnes noen tredjepartsrapport ennå
ingen sertifisering implisert: samsvarstabellen på /trust leser fra konfigurasjonen
godtroende forskning møtes aldri med advokater

Send e-post til security@transglot.ai Tillitssenteret

illustrativt utdata. denne siden kjører ingen skanning, verken av deg eller av oss

holdningsnotater, illustrative

# det første en sikkerhetsgjennomgang spør om

tls 1.2 eller bedre, nektet under ved kanten

webhooks hmac-sha256 over tidsstempel og body

tokens lagret som en sha-256-hash, vises én gang

tenancy hver spørring er avgrenset til org og prosjekt

abilities fem på et prosjekttoken, tre ved deploy

roller fire, på alle planer inkludert gratis

audit kun tillegging på modellaget, ingen kjede

minne én felles nøyaktig-match-pool, av per prosjekt

ved hvile live-volumer er ikke diskkryptert. backuper er aes-256.

FAQ

Listen en sikkerhetsgjennomgang vanligvis kommer med.

Er dataene mine kryptert?

Under overføring, ja: TLS 1.2 eller bedre, og alt eldre avslås ved edge. Ved hvile er databasebackuper kryptert med AES-256 på vei ut, og filbackup-repositoriet er passordkryptert. De levende databasevolumene er ikke diskkryptert i dag.

Er dere SOC 2-sertifisert?

Ikke ennå. En SOC 2 Type II-revisjon er underveis: først klarhet, deretter observasjonsvinduet. Vi har ingen tredjeparts sikkerhetssertifisering i dag, og indikatorene ovenfor hentes fra en konfigurasjonsboolsk variabel som ikke kan si "innehas" før en finnes.

Trenter dere AI-modeller på innholdet mitt?

Nei, på alle planer. Strengene dine sendes til leverandørene nevnt i trust center for oversettelse og ingenting annet, under kommersielle vilkår. Måling registrerer antall tokens, aldri teksten.

Hvordan hindrer dere at én kunde ser en annen?

Hver spørring er avgrenset til din organisasjon og ditt prosjekt, og en ID som ikke er din svarer med 404 i stedet for 403, slik at eksistensen av et annet arbeidsområde aldri lekker. Den delte nøyaktig-match-oversettelsesminnepoolen er det ene bevisste unntaket; den har ingen eier i det hele tatt, og ethvert prosjekt kan forlate den med én bryter.

Støtter dere SAML SSO, SCIM og tvungen pålogging?

Ja, på Enterprise: SAML 2.0 med just-in-time-provisjonering, SCIM 2.0-provisjonering, og muligheten til å slå av passordpålogging for hele arbeidsområdet. Fire arbeidsområderoller pluss tillatelser per prosjekt og per språk finnes på alle planer, inkludert Gratis.

Fører dere en revisjonslogg, og kan jeg eksportere den?

Rolleendringer, tokenoppretting, endringer i fakturering, SSO-konfigurasjon og SSO-pålogginger blir alle registrert, og radene kan ikke redigeres eller slettes. Passordpålogginger er ikke i sporet i dag. Eiere og administratorer på Enterprise kan eksportere hele sporet som CSV. Det er ingen hash-kjede og ingen signatur, så vi kaller det ikke tamper-evident.

Har dere hatt en penetrasjonstest?

Vi har ingen tredjepartsrapport å sitere. Når en finnes, vil den bli navngitt her med dato og omfang i stedet for å oppsummeres som et antall funn.

Hvordan rapporterer jeg en sårbarhet, og betaler dere dusør?

Send e-post til security@transglot.ai. Forskning i god tro under den publiserte retningslinjen gir skriftlig trygg havn, bekreftelse innen tre virkedager og en innledende vurdering innen ti virkedager. Det tilbys ingen betalt dusør per i dag.

Hvordan lagres og avgrenses API-tokener?

Et prosjekttoken lagres som en SHA-256-hash og vises én gang, ved opprettelse. Prosjekttokener har fem rettigheter, mens distribusjonstokener har tre, slik at et token gitt til CI kan være snevrere enn personen som opprettet det. Tokener er en funksjon for betalte abonnementer: Gratis-abonnementer kan ikke opprette dem.