/securitykontrolki, jedna po drugiej

ograniczone zakresem.

każde zapytanie do bazy danych jest ograniczone do Twojej organizacji i projektu

Szyfrowanie, kontrola dostępu, izolacja tenantów i ścieżka audytu – każdy element wymienia mechanizm, który go zapewnia. Rzeczy, których jeszcze nie zbudowaliśmy, są tutaj wymienione jako luki.

tls 1.2 lub nowszy w transmisji
webhooki podpisane hmac
wpisy audytu tylko do dopisywania
cztery role, pięć uprawnień tokenów

kontrolki

Szyfrowanie, dostęp, izolacja i audyt.

każda kafelka wymienia mechanizm, który to zapewnia, a kafelka wskazująca lukę jest najbardziej użyteczna na stronie

AES-256

Szyfrowane przed opuszczeniem hosta

Kopie zapasowe bazy danych są szyfrowane podczas eksportu. Repozytorium kopii plików jest zabezpieczone hasłem i nie działa bez klucza. Dane uwierzytelniające aplikacji połączonych oraz sekrety webhooków są przechowywane w zaszyfrowanych kolumnach. Tokeny wdrażania są przechowywane jako hash SHA-256 i wyświetlane tylko raz, podczas tworzenia. Dyski produkcyjne nie są szyfrowane na poziomie woluminu, ponieważ nie zaimplementowaliśmy tej funkcji, a informacje na ten temat znajdziesz tutaj, a nie w procesie due diligence.

Podpisane podczas eksportu

Wychodzące webhooki są podpisywane za pomocą HMAC-SHA256 na podstawie znacznika czasu i treści. Znacznik czasu jest również wysyłany, dzięki czemu możesz wymusić własne okno ochrony przed powtórzeniem żądań.

POST /hooks/translations

X-Transglot-Timestamp: 1756...

X-Transglot-Signature: hmac-sha256

signed over (timestamp, body)

compared with hash_equals

Tożsamość i dostęp

Cztery role w przestrzeni roboczej dostępne w każdym planie, w tym darmowym: administrator, programista, recenzent i tłumacz, plus właściciele kont i członkowie działu rozliczeń. Dodatkowe uprawnienia per projekt i per język pozwalają nadać freelancerowi dostęp do jednego języka, bez widoczności innych danych. Logowanie SAML 2.0 z automatycznym provisioninguem (JIT) oraz provisioning SCIM 2.0 są dostępne w planie Enterprise, a logowanie hasłem można wyłączyć dla całej przestrzeni roboczej.

Izolacja tenantów

Każde zapytanie jest ograniczone do Twojej organizacji i projektu. Identyfikator należący do kogoś innego zwraca błąd 404 zamiast 403, dzięki czemu istnienie innej przestrzeni roboczej nigdy nie zostaje ujawnione. Wspólna pula pamięci dla dokładnych dopasowań jest jedynym celowym wyjątkiem, a każdy projekt może ją opuścić za pomocą przełącznika.

Ścieżka audytu

Zmiany ról, tworzenie tokenów, zmiany w rozliczeniach, konfiguracja SSO oraz logowania przez SSO są rejestrowane, a wpisów nie można edytować ani usuwać: model blokuje obie te operacje. Logowania hasłem nie są obecnie uwzględniane w ścieżce audytu. Właściciele i administratorzy w planie Enterprise mogą eksportować całą ścieżkę jako plik CSV. Nie ma tu łańcucha hashy ani podpisu kryptograficznego, więc nic nie wskazuje na ochronę przed manipulacją.

Dostępność i kredyty

Nie publikujemy tutaj procentowej wartości dostępności, ponieważ każda taka liczba byłaby jedynie naszą deklaracją. Plany Business i Enterprise obejmują kontraktowy miesięczny cel dostępności z harmonogramem kredytów serwisowych, który stanowi SLA.

Gdzie faktycznie stoi zgodność

Te same cztery wiersze, które czytają strona zaufania i centrum zaufania, pochodzące z tej samej konfiguracji. Pieczęć może powiedzieć „posiadana” tylko wtedy, gdy wartość logiczna tak wskazuje, a obecnie żadna z nich tego nie robi.

SOC 2 Type II: audyt w toku
ISO/IEC 42001 (AI management): w trakcie pozyskiwania
GDPR: zgodne, ale nie certyfikowane
CCPA / CPRA: zgodne, ale nie certyfikowane

krótkie odpowiedzi

O co pyta recenzent, odpowiadamy najpierw.

Pytania, które pojawiają się na początku przeglądu bezpieczeństwa, oraz odpowiedzi na nie, w kolejności, w jakiej zwykle napływają. Każdy wiersz odnosi się do konkretnej kontrolki w kodzie, a nie do ogólnych twierdzeń. Ostatni wiersz oznacza lukę i pozostanie tutaj, dopóki nie przestanie być aktualny.

brak cytowanych ustaleń, ponieważ nie ma jeszcze raportu od strony trzeciej
brak implikacji certyfikacji: tabela zgodności na stronie /trust odczytuje dane z konfiguracji
badania prowadzone w dobrej wierze nigdy nie spotykają się z reakcją prawników

Napisz na security@transglot.ai Centrum zaufania

przykładowe dane wyjściowe. ta strona nie przeprowadza skanowania, ani Ciebie, ani nas

notatki dotyczące postawy, przykładowe

# czego najpierw pyta przegląd bezpieczeństwa

tls 1.2 lub nowszy, odrzucany poniżej na brzegu sieci

webhooks hmac-sha256 na podstawie znacznika czasu i treści

tokens przechowywane jako hash sha-256, wyświetlane raz

tenancy każde zapytanie ograniczone do org i projektu

abilities pięć w tokenie projektu, trzy przy wdrożeniu

roles cztery, w każdym planie, w tym darmowym

audit tylko dodawanie w warstwie modelu, bez łańcucha

pamięć jedna współdzielona pula dokładnych dopasowań, wyłączana per projekt

w spoczynku aktywne woluminy nie są szyfrowane dyskowo. kopie zapasowe są szyfrowane AES-256.

FAQ

Lista, która zwykle towarzyszy przeglądowi bezpieczeństwa.

Czy moje dane są szyfrowane?

W transmisji: tak, TLS 1.2 lub nowszy, a starsze wersje są odrzucane na krawędzi sieci. W spoczynku: kopie zapasowe bazy danych są szyfrowane algorytmem AES-256 przy eksporcie, a repozytorium kopii plików jest zabezpieczone hasłem. Aktywne woluminy bazy danych nie są obecnie szyfrowane dyskowo.

Czy posiadacie certyfikat SOC 2?

Jeszcze nie. Audyt SOC 2 Type II jest w toku: najpierw gotowość, potem okres obserwacji. Obecnie nie posiadamy żadnego zewnętrznego certyfikatu bezpieczeństwa, a powyższe ikony wynikają z ustawienia konfiguracyjnego, które nie może wskazywać „posiadania” dopóki taki certyfikat nie zostanie uzyskany.

Czy trenujecie modele AI na mojej zawartości?

Nie, w żadnym planie. Twoje ciągi tekstowe trafiają do dostawców wymienionych w centrum zaufania wyłącznie w celu tłumaczenia, na warunkach komercyjnych. System pomiaru zlicza liczbę tokenów, nigdy sam tekst.

Jak zapobiegacie widoczności danych jednego klienta przez drugiego?

Każde zapytanie jest ograniczone do Twojej organizacji i projektu, a ID, które do Ciebie nie należy, zwraca błędem 404 zamiast 403, dzięki czemu istnienie innego obszaru roboczego nigdy nie zostaje ujawnione. Jedynym celowym wyjątkiem jest współdzielona pula pamięci tłumaczeń z dokładnymi dopasowaniami – nie ma ona przypisanego właściciela, a każdy projekt może ją wyłączyć jednym przełącznikiem.

Czy obsługujecie SAML SSO, SCIM i wymuszone logowanie?

Tak, w planie Enterprise: SAML 2.0 z aprowizacją just-in-time, aprowizacja SCIM 2.0 oraz opcja wyłączenia logowania hasłem dla całego obszaru roboczego. Cztery role w obszarze roboczym plus uprawnienia per projekt i per język są dostępne we wszystkich planach, w tym Free.

Czy prowadzicie dziennik audytu i czy mogę go wyeksportować?

Zmiany ról, tworzenie tokenów, zmiany rozliczeniowe, konfiguracja SSO oraz logowania przez SSO są rejestrowane, a wpisów nie można edytować ani usuwać. Logowania hasłem nie są obecnie uwzględniane w ścieżce audytu. Właściciele i administratorzy w planie Enterprise mogą wyeksportować całą ścieżkę jako CSV. Nie ma łańcucha hashy ani podpisu cyfrowego, dlatego nie określamy tego jako odpornego na manipulacje.

Czy przeprowadziliście testy penetracyjne?

Nie mamy zewnętrznego raportu, który moglibyśmy cytować. Gdy taki powstanie, zostanie tutaj wymieniony wraz z datą i zakresem, zamiast być podsumowywany liczbą wykrytych luk.

Jak zgłosić lukę bezpieczeństwa i czy wypłacacie nagrody?

Napisz na security@transglot.ai. Badania prowadzone w dobrej wierze zgodnie z opublikowaną polityką objęte są pisemną klauzulą safe harbour, potwierdzeniem w ciągu trzech dni roboczych oraz wstępną oceną w ciągu dziesięciu dni roboczych. Obecnie nie wypłacamy nagród finansowych.

Jak przechowywane i zakresowane są tokeny API?

Token projektu jest przechowywany jako hash SHA-256 i wyświetlany jednokrotnie, podczas tworzenia. Tokeny projektu mają pięć uprawnień, a tokeny wdrożeniowe trzy, więc token przekazany do CI może mieć węższy zakres niż osoba, która go utworzyła. Tokeny są funkcją płatnych planów: plan Free nie umożliwia ich generowania.