Securitate și ancorare
Încrederea este un mecanism,
nu o insignă.
Această pagină este dovada: ce impune sistemul, ce stochează, cine poate ajunge la date și ce nu am construit încă.
Contact pentru securitate
support@salewise.co.ukIncludeți pașii de reproducere. Vă rugăm să nu accesați datele altui comerciant și să nu perturbați serviciul.
Poziția actuală
- Fără certificare SOC 2 sau ISO 27001.
- Încă nu există un test de penetrare independent.
- Nu deținem date de card.
Pe scurt
Patru afirmații și locul unde se află dovada.
Nu adjective de marketing. Decizii de design cu cod în spate.
01
Modelul nu poate stabili un preț.
Recuperarea rulează înainte de generare. Modelul selectează dintre ID-urile candidate; serverul le validează și afișează singur prețul, stocul și variantele.
Citiți mecanismul02
Secretele furnizorilor sunt criptate în repaus.
AES-256-GCM, un IV aleator per înregistrare și date suplimentare autentificate care leagă fiecare text cifrat de furnizorul, contul și înregistrarea de integrare corespunzătoare.
Citiți mecanismul03
Nicio dată de card nu intră în Salewise.
Nu există proces de plată și nici stocare de PAN-uri. Cumpărătorul decide pe telefon și plătește la casa existentă a comerciantului.
Citiți mecanismul04
Accesul este delimitat, nu partajat.
Proprietatea magazinului este verificată pe fiecare rută de magazin. Tokenurile de acces durează 15 minute; tokenurile de reîmprospătare sunt stocate ca hash-uri și rotite la utilizare.
Citiți mecanismulAncorat prin construcție
Modelul selectează. Serverul afișează.
Recuperarea rulează înainte de generare. Modelul alege dintre candidați; serverul face calculele și afișarea.
01
Întâi recuperarea
Serverul recuperează produse candidate din catalogul comerciantului înainte ca modelului să i se ceară ceva. Modelul nu caută niciodată pe web.
02
Modelul selectează. Serverul afișează.
Prețurile, stocurile, variantele și ofertele sunt afișate pe server din înregistrările catalogului. Un număr din textul modelului nu este niciodată sursa de adevăr.
03
ID-urile sunt validate
Fiecare produs selectat de model trebuie să existe în setul de candidați recuperat. ID-urile invalide sunt eliminate înainte ca răspunsul să ajungă la cumpărător.
04
Refuz onest
Dacă răspunsul nu există în catalog, agentul spune acest lucru și oferă o predare. Când modelul nu este disponibil, asistentul spune că nu poate răspunde, iar cumpărătorul poate încerca din nou sau poate întreba un angajat.
Ce ajunge la model
- Întrebarea cumpărătorului.
- Un set de candidați recuperați din catalog.
- Setările magazinului și textul politicii relevante.
Ce nu ajunge niciodată la model
- Date de card sau acreditări de plată.
- Parole, chei API sau cheia principală Salewise.
- Un instrument care poate scrie în POS.
Registrul controalelor
Un registru al controalelor, nu o insignă de încredere.
Fiecare rând numește controlul, mecanismul din spate și locul unde este limita. Dacă un chestionar are nevoie de mai multe detalii, întrebați.
Răspunsuri ancorate
Catalogul este sursa de adevăr.
- Serverul recuperează produse candidate înainte de a rula modelul. Modelul poate selecta doar ID-uri din acel set. ID-urile invalide sunt eliminate, iar prețul, stocul, variantele și ofertele sunt afișate pe server. Dacă în catalog nu există un răspuns, agentul spune acest lucru și oferă o predare.
Acreditări în repaus
Secretele sunt criptate, legate și versionate.
- Acreditările furnizorilor folosesc AES-256-GCM cu un IV aleator de 96 de biți per înregistrare. Datele suplimentare autentificate leagă textul cifrat de provider:{providerId}:account:{accountId}:credentials, astfel încât o înregistrare copiată la alt chiriaș nu poate fi decriptată. keyVersion permite rotația cheilor; o decriptare eșuată se închide în siguranță în loc să returneze un secret.
Cereri Salewise
Semnate, nu doar cu token bearer.
- Cererile către API-ul principal Salewise poartă o semnătură HMAC-SHA256 peste metodă, cale, marcaj temporal, nonce și SHA-256 al corpului. Semnătura este comparată în timp constant și limitată de o fereastră de reluare. Cheia principală este pe server, configurată o singură dată, criptată în repaus și nu este returnată niciodată unui browser.
Conturi și roluri
Un cont de comerciant nu este un administrator de server.
- Sage are roluri de comerciant și de administrator de server. Parolele folosesc scrypt cu sare per cont. Tokenurile de acces expiră după 15 minute; tokenurile de reîmprospătare sunt stocate ca hash-uri, rotite la utilizare și expiră după 30 de zile. Invitațiile expiră după 7 zile și sunt legate de adresa de e-mail invitată.
Izolarea chiriașilor
O căutare de magazin este o verificare de proprietate.
- Fiecare rută de magazin rezolvă magazinul și verifică dacă aparține contului autentificat înainte de a returna date. Metodele repository sunt delimitate după cont și magazin, iar SQL-ul se află în spatele stratului repository, nu în funcțiile de tratare a rutelor.
Date de card
Fără plăți, fără PAN-uri.
- Salewise nu încasează plăți și nu stochează date de card. PWA pentru cumpărători nu are proces de plată, iar tranzacția rămâne în POS-ul comerciantului. Nu pretindem că ne aflăm în sfera PCI DSS pentru plăți cu cardul, pentru că nu procesăm plăți cu cardul.
Retenție
Configurată, nu nedefinită.
- Implementarea de referință este configurată pentru 180 de zile pentru transcrierile sesiunilor și 365 de zile pentru înregistrările de evenimente, stabilite prin mediu și prin DPA. Retenția specifică fiecărui comerciant este convenită în DPA, iar ștergerea se face la cerere. O curățare programată nu este revendicată astăzi.
Trasabilitate
Evenimentele relevante pentru securitate lasă o urmă.
- Înregistrarea, autentificarea, autentificarea eșuată, invitațiile, configurarea și modificările acreditărilor de integrare sunt scrise într-un jurnal de audit. Adresele de e-mail sunt transformate în hash-uri în detaliile de audit, nu stocate în clar. Jurnalul este intern astăzi; nu există încă un ecran de audit pentru comercianți.
Limita modelului
Modelul primește minimul necesar.
- Modelul primește întrebarea cumpărătorului, candidații recuperați din catalog, setările magazinului și textul politicii relevante. Nu primește parole, acreditări API sau date de card și nu are niciun instrument care poate scrie în POS.
„Construit” înseamnă că controlul există în produs astăzi. Nu înseamnă că fiecare control a fost auditat independent. Lacuna este listată la finalul acestei pagini.
Acreditări și cereri
Criptate în repaus. Semnate în tranzit.
Cele două mecanisme pe care le cere de obicei mai întâi un auditor de securitate.
Acreditări în repaus
- Algoritm
- AES-256-GCM, criptare autentificată.
- IV
- 12 octeți aleatori per înregistrare, niciodată reutilizați.
- Legare
- AAD provider:{providerId}:account:{accountId}:credentials. O înregistrare copiată nu poate fi decriptată.
- Rotație
- keyVersion pe fiecare înregistrare; cheia anterioară este acceptată în timpul rotației.
- Eșec
- O decriptare eșuată se închide în siguranță. Nu reîncearcă cu un secret vechi.
Cereri Salewise
Cheia principală este configurată o singură dată la instalarea serverului. Fiecare cerere este semnată cu ea; semnătura nu este un token bearer.
canonical = method + "\n" + path + "\n" + timestamp + "\n" + nonce + "\n" + sha256(body); signature = HMAC-SHA256(masterKey, canonical);
- Trimisă ca X-Sage-Signature, cu antete de marcaj temporal și nonce.
- Comparată în timp constant, cu o fereastră de reluare.
- Cheia principală păstrată pe server și criptată în repaus.
- Nu este returnată niciodată unui browser și nu este scrisă într-un jurnal.
Date, roluri și retenție
Date minime. Acces delimitat. O evidență.
Asistentul nu trebuie să știe cine este cumpărătorul pentru a răspunde la o întrebare despre un produs.
O sesiune înregistrează
- Un ID de sesiune, codul QR și culoarul care au pornit-o.
- Întrebările, răspunsurile și recomandările.
- Evenimentele de predare și marcajele temporale.
Fără nume, cont sau date de card. Demo-ul nu leagă o sesiune de un cumpărător identificat.
Cine poate ajunge la date
- Un cont de comerciant, delimitat la magazinele legate de el.
- Un administrator de server, pentru configurare și pentru furnizori.
- Fără acces între comercianți prin rutele de magazin.
Invitațiile sunt legate de o adresă de e-mail și expiră după 7 zile.
Cât timp rămân
- Transcrieri ale sesiunilor: configurate pentru 180 de zile.
- Înregistrări de evenimente: configurate pentru 365 de zile.
- Termeni specifici comerciantului: stabiliți în DPA.
Ștergerea se face la cerere. O curățare programată nu este revendicată astăzi.
Evenimente de audit
Înregistrarea, autentificarea, autentificarea eșuată, invitațiile, configurarea și modificările acreditărilor de integrare sunt scrise într-un jurnal de audit. Adresele de e-mail sunt transformate în hash-uri în detaliile de audit, nu stocate în clar. Jurnalul este intern astăzi; nu îl prezentăm ca pe un ecran de audit pentru comercianți.
Atribuire
Evidența trebuie să reziste unui audit.
O vânzare potrivită este fie exactă, fie modelată. Comerciantul poate vedea care și de ce.
Determinist
Un cod de răscumpărare purtat de la sesiune la vânzare. Încredere 1,0. Modelat: fals. Vânzarea este atribuită direct.
Modelat
O vânzare în același magazin, într-o fereastră de două ore, care conține articole recomandate. Se stochează un scor de încredere, plafonat la 0,92, iar potrivirea este etichetată ca modelată oriunde este raportată.
Potrivirile exacte sunt exacte. Potrivirile modelate sunt etichetate ca modelate oriunde sunt raportate. Abonamentul este singura taxă, iar atribuirea nu este prezentată drept venit.
Limite oneste
Ce nu pretindem.
Încrederea este mai ușor de verificat când lacunele sunt declarate.
Dacă un chestionar cere ceva de pe această listă, spuneți-ne.
Preferăm să pierdem afacerea decât să ocolim răspunsul.
- 01
Nu deținem astăzi certificarea SOC 2 sau ISO 27001.
- 02
Nu am finalizat astăzi un test de penetrare independent sau un audit de securitate.
- 03
Nu pretindem că ne aflăm în sfera PCI DSS pentru plăți cu cardul, pentru că nu procesăm plăți cu cardul.
- 04
În produsul actual, nu antrenăm un model partajat pe catalogul sau conversațiile unui singur comerciant.
- 05
Niciun sistem AI nu este lipsit de risc. Ancorarea reduce inventarea; nu elimină necesitatea revizuirii de către comerciant și a regulilor de predare.
- 06
Astăzi nu rulăm o curățare programată a retenției; ștergerea este o procedură operațională conform DPA.
- 07
Jurnalul nostru de audit este intern și nu este expus ca ecran de audit pentru comercianți.
- 08
Nu promitem un nivel de serviciu pe această pagină; orice angajament de disponibilitate este stabilit în formularul de comandă.
Divulgare responsabilă
Dacă credeți că ați găsit o vulnerabilitate, contactați support@salewise.co.uk cu suficiente detalii pentru a o reproduce. Vă rugăm să nu accesați datele altui comerciant, să nu perturbați serviciul și să nu divulgați public înainte de a ne da ocazia să răspundem.
Întrebări despre securitate
Puneți întrebarea incomodă.
Chestionarele de securitate, termenii de prelucrare a datelor și întrebările despre arhitectură sunt binevenite. Vom răspunde cu ce avem și vom spune ce nu avem.