/securitykontroller, tek tek

kapsamlı.

her veritabanı sorgusu kuruluşunuz ve projenizle sınırlandırılmıştır

Şifreleme, erişim kontrolü, kiracı izolasyonu ve denetim izi; her biri bunu uygulayan mekanizmayı adlandırır. Henüz inşa etmediğimiz şeyler burada boşluklar olarak belirtilmiştir.

iletim sırasında TLS 1.2 veya üzeri
HMAC imzalı webhook’lar
sadece ekleme yapılabilen denetim satırları
dört rol, beş token yetkisi

kontroller

Şifreleme, erişim, izolasyon ve denetim.

her kutucuk bunu sağlayan mekanizmayı adlandırır ve bir boşluğu adlandıran kutucuk sayfadaki en kullanışlı olandır

AES-256

Sunucudan ayrılmadan önce şifrelenir

Veritabanı yedeklemeleri dışa aktarılırken şifrelenir. Dosya yedekleme deposu parola ile şifrelenmiştir ve anahtarı olmadan çalışmaz. Bağlı uygulama kimlik bilgileri ve webhook gizli anahtarları şifreli sütunlar olarak saklanır. Dağıtım token’ları SHA-256 hash olarak saklanır ve yalnızca oluşturulma sırasında bir kez gösterilir. Canlı diskler birim düzeyinde şifreli değildir, çünkü bunu henüz inşa etmedik; bunu due diligence sürecinde değil, burada öğrenmelisiniz.

Dışarı çıkarken imzalanır

Giden webhook’lar, zaman damgası ve gövde üzerinden HMAC-SHA256 ile imzalanır. Zaman damgası da gönderilir, böylece kendi yeniden oynatma pencerenizi uygulayabilirsiniz.

POST /hooks/translations

X-Transglot-Timestamp: 1756...

X-Transglot-Signature: hmac-sha256

signed over (timestamp, body)

compared with hash_equals

Kimlik ve erişim

Ücretsiz plan dahil her planda dört çalışma alanı rolü bulunur: yönetici, geliştirici, inceleyici ve çevirmen; ayrıca hesap sahipleri ve faturalandırma üyeleri vardır. Proje başına ve dil başına yetkilendirmeler bunların üzerine eklenir, böylece bir serbest çalışana yalnızca bir dil verilebilir ve başka hiçbir şey göremez. Enterprise planda anında kullanıcı sağlama (JIT) ve SCIM 2.0 provizyonu ile SAML 2.0 oturum açma sunulur ve şifreyle giriş tüm çalışma alanı için kapatılabilir.

Kiracı izolasyonu

Her sorgu kuruluşunuz ve projenizle sınırlıdır. Başkasına ait bir kimlik 403 yerine 404 yanıtı döndürür, böylece başka bir çalışma alanının varlığı asla sızdırılmaz. Paylaşılan tam eşleşme bellek havuzu tek kasıtlı istisnadır ve herhangi bir proje bunu bir anahtarla devre dışı bırakabilir.

Denetim izi

Rol değişiklikleri, token oluşturma, faturalandırma değişiklikleri, SSO yapılandırması ve SSO oturum açmaları kaydedilir; satırlar düzenlenemez veya silinemez: model her iki işlemde de hata verir. Şifreyle oturum açmalar şu anda denetim izinde yer almaz. Enterprise’daki sahipler ve yöneticiler tüm izi CSV olarak dışa aktarabilir. Hash zinciri veya kriptografik imza yoktur, bu nedenle burada kurcalamaya karşı kanıt sağlayan bir yapı bulunmaz.

Çalışma süresi ve krediler

Burada herhangi bir yüzde yayınlamıyoruz, çünkü yazacağımız her rakam kendi kullanılabilirliğimiz hakkında bizim sözümüz olurdu. Business ve Enterprise planları, hizmet kredisi takvimine sahip sözleşmeli aylık çalışma süresi hedefi taşır ve bu takvim SLA’dır.

Uyumluluğun gerçekte nerede durduğu

Güven sayfası ve güven merkezinde okunan aynı dört satır, aynı yapılandırmadan gelir. Bir damga ancak bir boolean değer “evet” dediğinde “sağlanıyor” diyebilir ve bugün hiçbiri demiyor.

SOC 2 Type II: denetim devam ediyor
ISO/IEC 42001 (AI management): peşinde
GDPR: uyumlu, sertifikalı değil
CCPA / CPRA: uyumlu, sertifikalı değil

kısa cevaplar

Bir inceleyicinin sorduğu, önce cevaplanır.

Bir güvenlik incelemesinin genellikle ilk sorduğu sorular ve cevapları, geldikleri sırayla. Her satır, kod tabanındaki bir kontrolü temsil eder, bir iddiayı değil. Son satır bir boşluktur ve doğru olmaktan çıkana kadar burada kalır.

henüz üçüncü taraf raporu olmadığından alıntılanan bulgu yok
sertifikasyon ima edilmez: /trust adresindeki uyumluluk tablosu yapılandırmadan okunur
iyi niyetli araştırmalar asla avukatlarla karşılanmaz

security@transglot.ai adresine e-posta gönderin Güven merkezi

örnek çıktı. bu sayfa sizde veya bizde tarama yapmaz

durum notları, örnek amaçlı

# bir güvenlik incelemesinin ilk sorduğu

tls 1.2 veya üzeri, altındakiler kenarda reddedilir

webhooks zaman damgası ve gövde üzerinden hmac-sha256

tokens sha-256 hash olarak saklanır, bir kez gösterilir

tenancy her sorgu org ve proje ile sınırlıdır

abilities proje token’ında beş, deploy’da üç

roles ücretsiz dahil her planda dört

audit model katmanında sadece ekleme yapılır, zincir yok

memory tek paylaşılan tam eşleşme havuzu, proje başına kapatılabilir

beklemede canlı birimler disk şifrelemeli değildir. yedekler AES-256 ile şifrelenir.

SSS

Bir güvenlik incelemesinin genellikle birlikte getirdiği liste.

Verilerim şifreli mi?

İletim sırasında, evet: TLS 1.2 veya daha iyisi ve daha eski sürümler uç noktada reddedilir. Beklemede, veritabanı yedekleri dışarı çıkarken AES-256 ile şifrelenir ve dosya yedekleme deposu parola ile şifrelenir. Canlı veritabanı birimleri bugün disk şifrelemeli değildir.

SOC 2 sertifikalı mısınız?

Henüz değil. SOC 2 Tip II denetimi devam ediyor: önce hazırlık, ardından gözlem penceresi. Bugün herhangi bir üçüncü taraf güvenlik sertifikasına sahip değiliz ve yukarıdaki işaretler, bir sertifika alınana kadar "sahip olundu" diyemeyen bir yapılandırma boolean değerinden alınmıştır.

İçeriğim üzerinde AI modellerini eğitiyor musunuz?

Hayır, hiçbir planda değil. Dizeleriniz, ticari şartlar altında çevrilmek ve başka hiçbir amaçla kullanılmamak üzere güven merkezinde belirtilen sağlayıcılara gönderilir. Ölçüm kayıtları metni asla değil, yalnızca jeton sayılarını tutar.

Bir müşterinin diğerini görmesini nasıl engellersiniz?

Her sorgu kuruluşunuz ve projenizle sınırlıdır ve size ait olmayan bir kimlik 403 yerine 404 yanıtı verir, böylece başka bir çalışma alanının varlığı asla sızdırılmaz. Paylaşılan tam eşleşme çeviri belleği havuzu tek kasıtlı istisnadır; tamamen sahibsizdir ve herhangi bir proje tek bir anahtarla ondan ayrılabilir.

SAML SSO, SCIM ve zorunlu oturum açmayı destekliyor musunuz?

Evet, Enterprise planında: anında sağlama ile SAML 2.0, SCIM 2.0 sağlama ve tüm çalışma alanı için parola girişini kapatma seçeneği. Dört çalışma alanı rolü artı proje başına ve dil başına izinler her planda mevcuttur, Ücretsiz plan dahil.

Denetim günlüğü tutuyor musunuz ve bunu dışa aktarabilir miyim?

Rol değişiklikleri, jeton oluşturma, faturalandırma değişiklikleri, SSO yapılandırması ve SSO oturum açmaları kaydedilir ve satırlar düzenlenemez veya silinemez. Parola oturum açmaları bugün izde yer almaz. Enterprise planındaki sahipler ve yöneticiler tüm izi CSV olarak dışa aktarabilir. Hash zinciri ve imza yoktur, bu nedenle buna değiştirilemez kanıt özelliğine sahip demiyoruz.

Sızma testi yaptırdınız mı?

Alıntılayabileceğimiz bir üçüncü taraf raporumuz yok. Böyle bir rapor mevcut olduğunda, bulgu sayısı olarak özetlenmek yerine tarihi ve kapsamıyla birlikte burada adlandırılacaktır.

Bir güvenlik açığını nasıl bildiririm ve ödül veriyor musunuz?

security@transglot.ai adresine e-posta gönderin. Yayınlanan politika kapsamında iyi niyetli araştırmalar yazılı güvenli liman, üç iş günü içinde bir teşekkür ve on iş günü içinde ilk değerlendirme taşır. Bugün ücretli bir ödül yoktur.

API jetonları nasıl saklanır ve kapsamlandırılır?

Proje jetonu SHA-256 hash'i olarak saklanır ve oluşturulma sırasında bir kez gösterilir. Proje jetonları beş yetki taşırken, dağıtım jetonları üç yetki taşır; bu nedenle CI'ye verilen bir jeton, onu oluşturan kişiden daha dar kapsamlı olabilir. Jetonlar ücretli plan özelliğidir: Ücretsiz plan bir jeton basamaz.