/securityэлементы управления, один за другим

ограничены.

каждый запрос к базе данных ограничен вашей организацией и проектом

Шифрование, контроль доступа, изоляция арендаторов и журнал аудита — каждый пункт называет механизм, который его обеспечивает. То, что мы ещё не реализовали, указано здесь как пробелы.

TLS 1.2 или выше при передаче данных
вебхуки с подписью HMAC
журнал аудита только для добавления
четыре роли, пять типов прав токенов

элементы управления

Шифрование, доступ, изоляция и аудит.

каждая плитка называет механизм, обеспечивающий её утверждение, а плитка, указывающая на пробел, — самая полезная на странице

AES-256

Шифруется перед выходом с хоста

Резервные копии базы данных шифруются при выгрузке. Репозиторий файловых резервных копий защищён паролем и не работает без ключа. Учётные данные подключённых приложений и секреты вебхуков хранятся в зашифрованных столбцах. Токены развёртывания хранятся в виде хеша SHA-256 и показываются один раз при создании. Живые диски не шифруются на уровне тома, потому что мы это ещё не реализовали, и вам лучше узнать об этом здесь, а не в процессе проверки.

Подписывается при отправке

Исходящие вебхуки подписываются с помощью HMAC-SHA256 по метке времени и телу сообщения. Метка времени также отправляется, чтобы вы могли задать своё окно защиты от повторного воспроизведения.

POST /hooks/translations

X-Transglot-Timestamp: 1756...

X-Transglot-Signature: hmac-sha256

signed over (timestamp, body)

compared with hash_equals

Идентификация и доступ

Четыре роли рабочего пространства на каждом тарифе, включая бесплатный: администратор, разработчик, рецензент и переводчик, плюс владельцы аккаунта и участники биллинга. Поверх них действуют разрешения для каждого проекта и языка, поэтому фрилансеру можно дать доступ только к одному языку, скрыв остальное. Вход через SAML 2.0 с JIT-подготовкой и подготовка через SCIM 2.0 доступны на тарифе Enterprise, а вход по паролю можно отключить для всего рабочего пространства.

Изоляция арендаторов

Каждый запрос ограничен вашей организацией и проектом. ID, принадлежащий кому-то другому, возвращает 404, а не 403, поэтому существование другого рабочего пространства никогда не раскрывается. Общий пул памяти для точного совпадения — единственное преднамеренное исключение, и любой проект может выйти из него переключателем.

Журнал аудита

Изменения ролей, создание токенов, изменения в биллинге, настройка SSO и входы через SSO записываются, и строки нельзя редактировать или удалять: модель выбрасывает ошибку в обоих случаях. Входы по паролю сегодня не попадают в журнал. Владельцы и администраторы на тарифе Enterprise могут экспортировать весь журнал в CSV. Здесь нет хеш-цепочки и криптографической подписи, поэтому ничего не гарантирует защиту от несанкционированных изменений.

Время работы и кредиты

Мы не публикуем здесь процентное значение, потому что любая цифра, которую мы напишем, будет лишь нашим словом о нашей собственной доступности. Тарифы Business и Enterprise включают контрактную целевую месячную доступность с графиком сервисных кредитов, и этот график является SLA.

Реальное состояние соответствия требованиям

Те же четыре строки, что и на странице доверия и в центре доверия, из одной конфигурации. Штамп может говорить «выполнено» только тогда, когда так говорит булево значение, и сегодня ни одно из них этого не делает.

SOC 2 Type II: аудит в процессе
ISO/IEC 42001 (AI management): в стадии получения
GDPR: соответствует, но не сертифицировано
CCPA / CPRA: соответствует, но не сертифицировано

краткие ответы

Что спрашивает рецензент, ответы в первую очередь.

Вопросы, с которых начинается проверка безопасности, и ответы на них в порядке их обычного поступления. Каждая строка — это элемент управления в кодовой базе, а не утверждение о чём-либо. Последняя строка указывает на пробел и остаётся здесь, пока не перестанет быть актуальной.

нет цитируемых находок, так как стороннего отчёта пока нет
сертификация не подразумевается: таблица соответствия на /trust читается из конфигурации
добросовестные исследования никогда не встречают юристов

Написать на security@transglot.ai Центр доверия

иллюстративный вывод. эта страница не запускает сканирование, ни вас, ни нас

заметки о состоянии, иллюстративные

# что в первую очередь запрашивает проверка безопасности

tls 1.2 или выше, более старые версии отвергаются на границе

webhooks hmac-sha256 по метке времени и телу запроса

tokens хранятся как хеш sha-256, показываются один раз

tenancy каждый запрос ограничен организацией и проектом

abilities пять для токена проекта, три для деплоя

roles четыре, на каждом тарифе, включая бесплатный

audit только добавление на уровне модели, без цепочки

memory один общий пул точных совпадений, отключается для каждого проекта

at rest активные тома не шифруются на диске. резервные копии — aes-256.

Частые вопросы

Список, с которым обычно приходит проверка безопасности.

Шифруются ли мои данные?

При передаче — да: TLS 1.2 или выше, всё остальное отвергается на границе. В состоянии покоя резервные копии базы данных шифруются AES-256 при выгрузке, а репозиторий файловых резервных копий защищён паролем. Активные тома базы данных сегодня не шифруются на диске.

У вас есть сертификация SOC 2?

Пока нет. Аудит SOC 2 Type II в процессе: сначала подготовка, затем период наблюдения. Сегодня у нас нет сторонних сертификатов безопасности, а индикаторы выше основаны на булевом значении в конфигурации, которое не может отображать «получено», пока сертификат не будет получен.

Вы обучаете модели ИИ на моих данных?

Нет, ни на одном тарифе. Ваши строки отправляются провайдерам, указанным в центре доверия, только для перевода и ни для чего другого, на коммерческих условиях. Система учёта фиксирует количество токенов, но не сам текст.

Как вы предотвращаете доступ одного клиента к данным другого?

Каждый запрос ограничен рамками вашей организации и проекта. Запрос к чужому идентификатору возвращает ошибку 404 вместо 403, поэтому существование других рабочих пространств никогда не раскрывается. Единственное преднамеренное исключение — общий пул памяти переводов с точным совпадением: у него нет владельца, и любой проект может отключить его использование одним переключателем.

Поддерживаете ли вы SAML SSO, SCIM и принудительный вход?

Да, на тарифе Enterprise: SAML 2.0 с JIT-подготовкой, подготовка через SCIM 2.0 и возможность отключить вход по паролю для всего рабочего пространства. Четыре роли рабочего пространства плюс разрешения для каждого проекта и языка доступны на каждом тарифе, включая бесплатный.

Ведется ли журнал аудита и можно ли его экспортировать?

Все изменения ролей, создание токенов, изменения в биллинге, настройка SSO и входы через SSO записываются, причем эти записи нельзя редактировать или удалять. Входы по паролю сегодня не попадают в журнал. Владельцы и администраторы в тарифе Enterprise могут экспортировать весь журнал в формате CSV. Цепочки хэшей и цифровые подписи отсутствуют, поэтому мы не называем этот журнал защищенным от несанкционированных изменений.

Проводили ли вы тестирование на проникновение?

У нас нет стороннего отчета, на который можно было бы сослаться. Когда он появится, здесь будут указаны его дата и область действия, а не просто количество найденных уязвимостей.

Как сообщить об уязвимости и выплачиваете ли вы вознаграждение?

Пишите на security@transglot.ai. Добросовестные исследования в рамках опубликованной политики гарантируют письменную защиту от претензий, подтверждение получения в течение трех рабочих дней и первоначальную оценку в течение десяти рабочих дней. На данный момент выплата денежных вознаграждений не предусмотрена.

Как хранятся API-токены и какова область их действия?

Токен проекта хранится в виде хэша SHA-256 и показывается один раз — при создании. Токены проекта имеют пять прав доступа, а токены развертывания — три, поэтому токен, переданный в CI/CD, может иметь более узкие права, чем у создавшего его пользователя. Токены доступны только в платных тарифах: в тарифе Free создать токен нельзя.

работает с тем, что вы уже используете