Zaufanie to mechanizm,
a nie odznaka.

Odpowiedzi oparte na katalogu

Katalog jest źródłem prawdy.

Serwer pobiera produkty kandydujące, zanim uruchomi się model. Model może wybierać wyłącznie identyfikatory z tego zestawu. Nieprawidłowe identyfikatory są odrzucane, a cena, stan, warianty i oferty są renderowane po stronie serwera. Jeśli katalog nie ma odpowiedzi, asystent to mówi i proponuje przekazanie.

Dane dostępowe w spoczynku

Sekrety są szyfrowane, powiązane i wersjonowane.

Dane dostępowe dostawców są szyfrowane algorytmem AES-256-GCM z losowym 96-bitowym IV dla każdego rekordu. Dodatkowe dane uwierzytelniające wiążą szyfrogram z provider:{providerId}:account:{accountId}:credentials, więc rekord skopiowany do innego najemcy nie odszyfruje się. keyVersion obsługuje rotację kluczy; nieudane odszyfrowanie kończy się bezpieczną odmową, zamiast zwracać sekret.

Żądania Salewise

Podpisane, nie tylko bearer.

Żądania do głównego API Salewise niosą podpis HMAC-SHA256 obejmujący metodę, ścieżkę, znacznik czasu, nonce i SHA-256 treści. Podpis jest porównywany w stałym czasie i ograniczony oknem powtórzeń. Klucz główny jest po stronie serwera, konfigurowany raz, szyfrowany w spoczynku i nigdy nie zwracany do przeglądarki.

Konta i role

Konto sprzedawcy to nie administrator serwera.

Sage ma role sprzedawcy i administratora serwera. Hasła używają algorytmu scrypt z solą dla każdego konta. Tokeny dostępu wygasają po 15 minutach; tokeny odświeżania są przechowywane jako hasze, rotowane przy użyciu i wygasają po 30 dniach. Zaproszenia wygasają po 7 dniach i są powiązane z zaproszonym adresem e-mail.

Izolacja najemców

Wyszukanie sklepu to sprawdzenie własności.

Każde żądanie dotyczące sklepu ustala sklep i sprawdza, czy należy do uwierzytelnionego konta, zanim zwróci dane. Metody repozytorium są ograniczone kontem i sklepem, a SQL znajduje się za warstwą repozytorium, nie w obsłudze żądań.

Dane karty

Bez płatności, bez PAN.

Salewise nie przyjmuje płatności i nie przechowuje danych karty. PWA klienta nie ma kasy, a transakcja zostaje w POS sprzedawcy. Nie twierdzimy, że obejmuje nas zakres PCI DSS dla płatności kartą, ponieważ nie przetwarzamy płatności kartą.

Przechowywanie

Skonfigurowane, nie bezterminowe.

Wdrożenie referencyjne jest skonfigurowane na 180 dni dla transkrypcji sesji i 365 dni dla rekordów zdarzeń, ustawiane przez środowisko i DPA. Okres przechowywania dla konkretnego sprzedawcy jest uzgadniany w DPA, a usuwanie realizowane na żądanie. Zaplanowane czyszczenie nie jest dziś deklarowane.

Ścieżka audytu

Zdarzenia istotne dla bezpieczeństwa zostawiają zapis.

Rejestracja, logowanie, nieudane logowanie, zaproszenia, konfiguracja i zmiany danych dostępowych integracji są zapisywane w dzienniku audytu. Adresy e-mail są haszowane w szczegółach audytu, a nie przechowywane jawnie. Dziennik jest dziś wewnętrzny; nie ma jeszcze ekranu audytu dla sprzedawcy.

Granica modelu

Model dostaje minimum, którego potrzebuje.

Model otrzymuje pytanie klienta, pobranych kandydatów z katalogu, ustawienia sklepu i odpowiedni tekst zasad. Nie otrzymuje haseł, danych dostępowych API ani danych karty i nie ma narzędzia, które może zapisywać do POS.

„Zbudowane” oznacza, że kontrola istnieje w produkcie dziś. Nie oznacza, że każda kontrola została niezależnie zbadana. Luka jest wymieniona na dole tej strony.