Юридический раздел · Безопасность
Безопасность публичного сайта и защита загрузок.
Помимо публичных страниц, для сеансов аккаунта и защищённых загрузок действует серверная граница Worker. Сайт компании не предоставляет универсальный публичный API.
Текущее состояние
Статическое содержимое с серверной границей
Большая часть публичного содержимого предоставляется как static HTML and CSS . Запросы аккаунта и сеанса, а также загрузки защищённых пакетов проходят через серверную границу Worker.
Одобренные пакеты и файлы для их проверки доступны без входа. Сервисы аккаунта и платные возможности сохраняют собственные проверки доступа. Сайт компании предоставляет no general public API.
Текущие границы
Действующие меры защиты
Проверяемые публичные загрузки
Маршруты пакетов ограничивают запросы и перед выдачей проверяют одобренный выпуск и идентичность сохранённого файла.
Остановка при невозможности проверки
Если нельзя проверить выбранный выпуск, целостность файла или необходимые данные доверия, выдача пакета прекращается.
Публичные данные для проверки
Контрольные суммы, подписи и открытые ключи доступны для независимой проверки файлов, полученных из других источников.
Защита на уровне маршрутов
Чувствительные ответы Worker используют no-store, строгие заголовки безопасности и ограничения методов запросов.
Защита от злоупотреблений
Маршруты аккаунта и аутентификации применяют ограничения частоты запросов, когда соответствующий механизм доступен в развёртывании.
Обращение с секретами
Учётные данные среды выполнения хранятся в настройках развёртывания и не публикуются со статическими ресурсами сайта.
Сообщение об уязвимостях
Сообщайте о проблемах безопасности конфиденциально.
Не публикуйте сведения об уязвимостях в открытых issues. Следуйте политике безопасности организации для затронутых репозиториев или напишите на security@altifigence.com.
Открытые issues подходят для ошибок документации, неработающих ссылок, проблем доступности и обычных дефектов сайта.