A confiança é um mecanismo,
não um selo.

Respostas fundamentadas

O catálogo é a fonte de verdade.

O servidor recupera produtos candidatos antes de o modelo correr. O modelo só pode selecionar IDs desse conjunto. Os IDs inválidos são descartados, e preço, existências, variantes e ofertas são apresentados no servidor. Se o catálogo não tiver resposta, o agente diz isso e oferece um encaminhamento.

Credenciais em repouso

Os segredos são encriptados, ligados e versionados.

As credenciais dos fornecedores usam AES-256-GCM com um IV aleatório de 96 bits por registo. Os dados autenticados adicionais ligam o texto cifrado a provider:{providerId}:account:{accountId}:credentials, pelo que um registo copiado para outro inquilino falha a desencriptação. keyVersion permite a rotação de chaves; uma desencriptação falhada fecha o acesso em vez de devolver um segredo.

Pedidos à Salewise

Assinados, não apenas bearer.

Os pedidos à API mestra da Salewise transportam uma assinatura HMAC-SHA256 sobre o método, o caminho, o registo temporal, o nonce e o SHA-256 do corpo. A assinatura é comparada em tempo constante e limitada por uma janela de repetição. A chave mestra fica no servidor, é configurada uma vez, encriptada em repouso e nunca devolvida a um navegador.

Contas e funções

Uma conta de comerciante não é um administrador do servidor.

A Sage tem funções de comerciante e de administrador do servidor. As palavras-passe usam scrypt com sal por conta. Os tokens de acesso expiram após 15 minutos; os tokens de atualização são guardados como hashes, renovados a cada utilização e expiram após 30 dias. Os convites expiram após 7 dias e estão vinculados ao email convidado.

Isolamento de inquilinos

Uma consulta de loja é uma verificação de propriedade.

Cada rota de loja resolve a loja e verifica que pertence à conta autenticada antes de devolver dados. Os métodos do repositório são limitados por conta e loja, e o SQL fica por trás da camada de repositório, não nos controladores de rota.

Dados de cartão

Sem pagamentos, sem PANs.

A Salewise não recebe pagamentos nem guarda dados de cartão. A PWA do cliente não tem checkout, e a transação fica dentro do POS do comerciante. Não afirmamos âmbito PCI DSS para pagamentos com cartão porque não processamos pagamentos com cartão.

Conservação

Configurada, não indefinida.

A implementação de referência está configurada para 180 dias para transcrições de sessões e 365 dias para registos de eventos, definidos por ambiente e pelo DPA. A conservação específica do comerciante é acordada no DPA, e a eliminação é tratada a pedido. Atualmente não afirmamos uma purga agendada.

Registo de auditoria

Os eventos relevantes para a segurança deixam registo.

O registo, o início de sessão, o início de sessão falhado, os convites, a configuração e as alterações às credenciais de integração são escritos num registo de auditoria. Os emails são convertidos em hash nos detalhes de auditoria em vez de guardados em texto simples. O registo é interno hoje; ainda não existe um ecrã de auditoria para o comerciante.

Limite do modelo

O modelo recebe o mínimo de que precisa.

O modelo recebe a pergunta do cliente, candidatos recuperados do catálogo, definições da loja e o texto relevante das políticas. Não recebe palavras-passe, credenciais de API ou dados de cartão, e não tem qualquer ferramenta capaz de escrever no POS.

“Construído” significa que o controlo existe no produto hoje. Não significa que todos os controlos tenham sido auditados de forma independente. A lacuna está indicada no fim desta página.