ანგარიშის უსაფრთხოება
სერვერის უსაფრთხოება იცავს საიტებს. ანგარიშის უსაფრთხოება იცავს მათ გასაღებებს. Zinn Digital®-ის თითოეული შესვლა მუშაობს სტანდარტებზე დაფუძნებულ ერთიან იდენტიფიკაციის სისტემაზე — წვდომის გასაღებები და WebAuthn, TOTP ორფაქტორიანი ავთენტიფიკაცია, მაგიური ბმულით შესვლა, SAML SSO კორპორატიული და სააგენტოს გუნდებისთვის — დეტალური როლებით, თითოეული ორგანიზაციის API გასაღებებით და მხოლოდ დამატებადი აუდიტის ჟურნალით.
ჰოსტინგის ანგარიშების უმეტესობა წარმოადგენს მონაცემთა ბაზაში არსებულ პაროლს, რომელიც მიბმულია მართვის პანელზე. ჩვენი სისტემა არის იდენტიფიკაციის გამოყოფილი სისტემა — Keycloak, რომელიც მხარს უჭერს OIDC და SAML პროტოკოლებს — და დგას ყველაფრის სათავეში: მომხმარებლის მართვის პანელის, პერსონალის ადმინისტრაციული კონსოლის, ამ საჯარო საიტისა და ცოდნის ბაზის, ასევე თქვენი მხარდაჭერის ბილეთების წინ. შედით სისტემაში ერთხელ და თქვენ ავტორიზებული იქნებით მათ შორის ყველგან.
რადგან ის დაფუძნებულია ღია სტანდარტებზე და არა საკუთრების შესვლის სისტემაზე, იდენტიფიკაციის ფენა ისევე მარტივად ჩანაცვლებადია, როგორც პლატფორმის ნებისმიერი სხვა კომპონენტი. თქვენი წვდომის მოდელის არცერთი ნაწილი არ არის ჩაკეტილი მომწოდებლის პროდუქტში და თქვენი გუნდის ავთენტიფიკაცია არ არის დამოკიდებული ჩვენ მიერ ერთი მიმწოდებლის შენარჩუნებაზე. ეს არის იგივე პრინციპი მიუჯაჭველობის შესახებ, რომელსაც ვიყენებთ CDN ანგარიშების, DNS-ისა და გადახდის პროვაიდერების მიმართ.
სისტემაში შესვლა ლოკალიზებულია და საიტიდან შესვლის ეკრანზე გადასვლისას თქვენი ენა ნარჩუნდება — ასე რომ, სხვადასხვა ქვეყანაში განაწილებულ გუნდს არ უწევს მხოლოდ ინგლისურენოვანი შესვლით სარგებლობა.
ოთხი მეთოდი, ყველა პირველი კლასის, ყველა თითოეულ პირზე მორგებადი. არავინ არის იძულებული აირჩიოს ყველაზე სუსტი ვარიანტი მხოლოდ იმიტომ, რომ ის ერთადერთი ხელმისაწვდომია.
შეიყვანეთ თქვენი ელფოსტა, დააწკაპუნეთ ბმულზე და თქვენ უკვე სისტემაში ხართ. არ არსებობს პაროლი, რომელიც შეიძლება ფიშინგის მსხვერპლი გახდეს, ხელახლა იქნეს გამოყენებული ან მონაცემთა დარღვევისას გაჟონოს. ეს არის ნაგულისხმევი გზა ახალი ანგარიშებისთვის და ადამიანთა უმრავლესობისთვის ეს ერთადერთია, რაც მათ ოდესმე დასჭირდებათ.
დაარეგისტრირეთ უპაროლო გასაღები (passkey) — Touch ID, Face ID, Windows Hello ან აპარატურული გასაღები, როგორიცაა YubiKey — და შედით სისტემაში პაროლის გარეშე. უპაროლო გასაღებები მიბმულია საწყის დომენზე, ამიტომ მსგავსი ყალბი ავტორიზაციის გვერდი მას ვერ მიითვისებს. პლატფორმა იღებს ES256 და RS256 აუთენტიფიკატორებს და უპირატესობას ანიჭებს მომხმარებლის ვერიფიკაციას.
შედით Google-ით იდენტობის პროვაიდერის სტანდარტული კავშირის მეშვეობით, რათა ანგარიშმა მემკვიდრეობით მიიღოს ნებისმიერი კონტროლი, რომელსაც თქვენი Google Workspace უკვე ახორციელებს. დამატებითი პროვაიდერები იმავე გზით უკავშირდებიან — აქ არაფერია ინდივიდუალური ინტეგრაცია.
შენახულია იმ ადამიანებისა და სკრიპტებისთვის, რომლებსაც ეს სჭირდებათ, და ექვემდებარება რეალურ პოლიტიკას: მინიმუმ თორმეტი სიმბოლო, არასოდეს თქვენი მომხმარებლის სახელი ან ელფოსტის მისამართი, ბოლო სამის ხელახალი გამოყენების გარეშე, ჰეშირებული Argon2-ით. ელფოსტის მისამართები მოწმდება მანამ, სანამ ანგარიში გამოსაყენებლად ხელმისაწვდომი გახდება.
მეორე ფაქტორები იდენტიფიკაციის სისტემის ნაწილია და არა დამატება, რომელსაც ყიდულობთ, ან პლაგინი, რომელსაც საკუთარ საიტზე აყენებთ.
თუ თქვენი ორგანიზაცია უკვე იყენებს იდენტობის პროვაიდერს — Okta-ს, Entra ID-ს, Google Workspace-ს ან ნებისმიერ სხვას, რომელსაც აქვს SAML-ის მხარდაჭერა — თქვენ აკავშირებთ მას და თქვენი თანამშრომლები შედიან Zinn Digital®-ში თავიანთი არსებული კორპორაციული მონაცემებით. არ არსებობს მეორე პაროლი, რომელიც თქვენმა გუნდმა უნდა მართოს, და არც მეორე გათავისუფლების საკონტროლო სია, რომელიც შეიძლება დაგავიწყდეთ.
ეს ყველაზე მნიშვნელოვანია სააგენტოებისა და გადამყიდველების მასშტაბით, სადაც პერსონალის ცვლა უსაფრთხოების რეალური მოვლენაა. როდესაც ვინმე მიდის და მას თქვენს დირექტორიაში გათიშავთ, თქვენ ასევე უთიშავთ წვდომას თქვენს ჰოსტინგზეც. წვდომა ცენტრალიზებულად მიჰყვება დასაქმების სტატუსს, ნაცვლად იმისა, რომ მისი ძებნა ათეულობით SaaS ინსტრუმენტში მოგიწიოთ.
SAML მუშაობს ყველაფრის პარალელურად და არ ანაცვლებს მას: კონტრაქტორებს კვლავ შეუძლიათ მიიღონ ანგარიში ჯადოსნური ბმულით (magic-link) განსაზღვრული როლის ფარგლებში, ხოლო მუდმივი თანამშრომლები შემოდიან SSO-ს მეშვეობით. ერთი ორგანიზაცია, ერთი ნებართვების მოდელი, ორი მთავარი კარი.
წვდომა შემოიფარგლება ორგანიზაციული ხით — გადამყიდველიდან კლიენტამდე და საიტამდე — და აღსრულდება უშუალოდ მონაცემთა ბაზაში სტრიქონის დონის უსაფრთხოებით, და არა მხოლოდ აპლიკაციაში. განსხვავებულ მოიჯარეებს შორის წვდომა არ არის წესი, რომლის დაცვასაც მომხმარებლებს ვთხოვთ; ეს არის მოთხოვნა, რომელსაც არ შეუძლია სტრიქონების დაბრუნება. კლიენტის ოთხი როლი მოიცავს მოვალეობების რეალისტურ განაწილებას.
ორგანიზაციისა და მისი ქვეანგარიშების სრული კონტროლი: შექმენით შვილობილი ორგანიზაციები, მოიწვიეთ და წაშალეთ წევრები, მიანიჭეთ როლები, მართეთ თითოეული საიტი, აწარმოეთ ანგარიშსწორება და ინვოისირება, მართეთ API გასაღებები და იხილეთ აუდიტის ჟურნალი.
ინვოისები, გამოწერები, გადახდის მეთოდები და ტარიფების კატალოგი — და სხვა არაფერი. თქვენს ფინანსისტს ან ბუღალტერს შეუძლია გადაიხადოს ინვოისი ისე, რომ არასოდეს ჰქონდეს მოქმედი საიტის შეცვლის, შეჩერების ან წაშლის შესაძლებლობა.
საიტებზე და API-ზე წვდომა ანგარიშსწორების კონტროლის გარეშე: დაათვალიერეთ და განათავსეთ საიტები, გადატვირთეთ სერვისები, გაასუფთავეთ ქეში, მართეთ API გასაღებები და სამუშაო ბილეთები. მიზანმიმართულად არ არის გათვალისწინებული წვდომა გადახდის მეთოდებზე, ინვოისებზე ან ტარიფის ცვლილებებზე.
მხოლოდ ნახვა მთელ ორგანიზაციაში — საიტები, ანგარიშსწორება, გეგმები, ბილეთები, თარგმანის სტატუსი და აუდიტის ჟურნალი. შესაფერისი როლი აუდიტორისთვის, კლიენტისთვის, ვისაც ხილვადობა სურს, ან ახალი თანამშრომლისთვის პირველ კვირაში.
მართვის პანელი შესვლის ერთ-ერთი გზაა. API, CLI, Terraform პროვაიდერი და MCP სერვერი სხვა გზებია — და ისინი წვდომის იმავე მოდელს ექვემდებარებიან, რადგან შეუზღუდავი გასაღები გვერდს უვლის თქვენ მიერ ახლახან კონფიგურირებულ თითოეულ როლს.
API გასაღები გაიცემა ორგანიზაციაზე და არა კონკრეტულ პირზე, და მას გააჩნია საკუთარი წვდომის არეები. განიხილეთ იგი, როგორც საერთო სამოწმებო მონაცემი: დაარქვით სახელი მისი დანიშნულების მიხედვით, მიანიჭეთ სამუშაოდ საჭირო ყველაზე ვიწრო წვდომები და განაახლეთ იგი, როდესაც მისი შემქმნელი პირი ორგანიზაციას დატოვებს.
დაუმუშავებელი გასაღები თქვენ მხოლოდ ერთხელ, შექმნისას გეჩვენებათ. ჩვენ ვინახავთ მხოლოდ SHA-256 ჰეშსა და მოკლე პრეფიქსს მოსაძიებლად. ჩვენ ვერ შევძლებთ გასაღების ხელახლა ჩვენებას, ხოლო მონაცემთა ბაზის კომპრომეტირება თავდამსხმელს მოქმედ მონაცემებს არ გადასცემს.
თითოეული გასაღები მოიცავს დეტალურ ფარგლებს, რომლებიც დაკავშირებულია იმავე ნებართვების კატალოგთან, რომელსაც როლები იყენებენ, აღრიცხავს მისი ბოლო გამოყენების დროს და შესაძლებელია მისი დაუყოვნებლივ გაუქმება საეჭვოდ გამოჩენისთანავე. ცალკეული sandbox გასაღებები ამოწმებს API-ს ყოველგვარი რეალური ანგარიშსწორებისა თუ რესურსების გამოყოფის გარეშე.
MCP სერვერი საშუალებას აძლევს ნებისმიერ MCP-ის მხარდაჭერის მქონე აგენტს მართოს თქვენი ჰოსტინგი — და ავთენტიფიცირდება OAuth 2.1-ის მეშვეობით, თქვენი ორგანიზაციისა და მისი RBAC ნებართვების ფარგლებში, თითოეული ხელსაწყოსთვის გაუქმებადი ტოკენებით, დამანგრეველ ქმედებებზე დადასტურებით, ხარჯვის ლიმიტებითა და სრული აუდიტის ჟურნალით. AI ასისტენტის დაკავშირება არ ნიშნავს მისთვის ყველაფრის გასაღების გადაცემას.
ყოველი პრივილეგირებული ქმედება წერს მხოლოდ დამატებად ჩანაწერს — ვინ შეასრულა ის, რა გააკეთა, რაზე გააკეთა, დამადასტურებელ მტკიცებულებებს და წყაროს IP მისამართს, დროის ნიშნულით. ეს არ არის გამართვის მოხერხებულობა; ეს არის მტკიცებულებათა კვალი.
არა — და გვირჩევნია, ეს არ გააკეთოთ. ჯადოსნური ბმულით (magic-link) ელფოსტით შესვლა ნაგულისხმევია და შეგიძლიათ დაარეგისტრიროთ წვდომის გასაღები (Touch ID, Face ID, Windows Hello ან აპარატურული გასაღები) და შეხვიდეთ სისტემაში პაროლის დაყენების გარეშე. ელფოსტა და პაროლი კვლავ ხელმისაწვდომია სარეზერვო ვარიანტის სახით, მინიმუმ თორმეტი სიმბოლოს მოთხოვნით, ბოლო სამი პაროლის ხელახალი გამოყენების აკრძალვითა და Argon2 ჰეშირებით.
TOTP ორფაქტორიანი ავთენტიფიკაცია ჩაშენებულია იდენტიფიკაციის შრეში და შესაძლებელია მისი სავალდებულო წესით დანერგვა მთელ ორგანიზაციაში პოლიტიკის მეშვეობით, ნაცვლად იმისა, რომ თითოეული წევრის არჩევანზე იყოს დამოკიდებული. წვდომის გასაღებები (passkeys) უფრო საიმედო ვარიანტია იქ, სადაც თქვენი გუნდის მოწყობილობებს მათი მხარდაჭერა აქვთ, რადგან ისინი გამორიცხავენ პაროლს, რომლის მოპოვებასაც თავდამსხმელი ფიშინგით შეეცდებოდა.
დიახ. ანგარიშსწორების მენეჯერის (Billing Manager) როლი იძლევა წვდომას მხოლოდ ინვოისებზე, გამოწერებზე, გადახდის მეთოდებსა და ტარიფების კატალოგზე — საიტის ნახვის, გამოყოფის, გადატვირთვის, შეჩერების ან წაშლის შესაძლებლობის გარეშე. მოქმედებს საპირისპიროც: დეველოპერის (Developer) როლი მართავს საიტებსა და API-ზე წვდომას ანგარიშსწორების ყოველგვარი კონტროლის გარეშე. როლები ნაწილდება ორგანიზაციის მიხედვით, ამიტომ ერთ ორგანიზაციაში მინიჭებული როლი არ იძლევა წვდომას ცალკეულ, დაუკავშირებელ ორგანიზაციაში — თუმცა მშობელ ორგანიზაციაში მინიჭებული როლი ვრცელდება მის ქვეშ არსებულ დაქვემდებარებულ ორგანიზაციებზეც.
გააუქმეთ იგი სამართავი პანელიდან და ის მყისიერად შეწყვეტს მუშაობას. ზიანის მასშტაბი შემოიფარგლება იმით, რისი გაკეთებაც ამ გასაღებს თავიდანვე შეეძლო, რის გამოც გასაღებებს გააჩნია დეტალური წვდომის არეალი და აღრიცხავს ბოლო გამოყენების დროის შტამპს — ვიწრო არეალი და გამოყენების თვალსაჩინო კვალი არის ის, რაც გაჟონვას აქცევს ლოკალიზებულ ინციდენტად და არა ანგარიშის სრულ უსაფრთხოების დარღვევად. გაითვალისწინეთ, რომ გასაღებები გაიცემა ორგანიზაციაზე და არა ფიზიკურ პირზე, ამიტომ განიხილეთ ისინი, როგორც საერთო რწმუნებათა სიგელები და განაახლეთ ისინი, როდესაც თანამშრომლები ტოვებენ პოზიციას. ჩვენს მხარეს ინახება მხოლოდ გასაღების ჰეში, ამიტომ ჩვენი მონაცემთა ბაზიდან გაჟონვა არ წარმოშობს მოქმედ რწმუნებათა სიგელს.
დიახ. ყველა პრივილეგირებული ქმედება იწერება მხოლოდ მიმატებად აუდიტის ჟურნალში შემსრულებლის, ქმედების, სამიზნის, დამადასტურებელი მტკიცებულებების, წყაროს IP-ისა და დროის ნიშნულის მითითებით. მფლობელისა და მხოლოდ კითხვის უფლების მქონე როლებს შეუძლიათ მისი პირდაპირ წაკითხვა. თქვენს ანგარიშზე პერსონალის ქმედებები აღირიცხება იმავე კვალში, ხოლო პერსონალის სენსიტიური ან დესტრუქციული ქმედებები შეიძლება მოითხოვდეს წინასწარ დამატებით ავთენტიფიკაციას ან ორმხრივ დამტკიცებას.
დიახ — SAML SSO მხარდაჭერილია კორპორატიული და სააგენტო ანგარიშებისთვის, ასე რომ თქვენი თანამშრომლები ავტორიზაციას გადიან არსებული კორპორატიული მონაცემებით და თქვენს დირექტორიაში მათი გაუქმება აუქმებს მათ წვდომას აქაც. შეგიძლიათ მიდგომების შერწყმა: SSO მუდმივი პერსონალისთვის, შეზღუდული მოქმედების magic-link ანგარიშები კონტრაქტორებისთვის, ეს ყველაფერი ნებართვების ერთი და იმავე მოდელის ფარგლებში.
არა — პაროლების მიგრაცია მიზანმიმართულად არ ხდება. თქვენი ანგარიშის იმპორტი პაროლის გარეშე ხდება, და პირველი შესვლისას თქვენ ან იყენებთ ჯადოსნურ ბმულს, ან აყენებთ ახალ პაროლს მიმდინარე პოლიტიკის შესაბამისად. ძველი პაროლების ჰეშების გადმოტანა ახალ სისტემაში ძველ სისუსტეებს გადაიტანდა, ამიტომ ჩვენ ამას არ ვაკეთებთ.
Footprint-Free-ის საცდელი პერიოდი შეადგენს 14 დღეს, არ მოითხოვს ბარათს და მოიცავს ხუთამდე საიტს. საცდელი პერიოდის განმავლობაში თქვენ იღებთ იდენტიფიკაციის სრულ ფენას — წვდომის გასაღებები, ორფაქტორიანი ავთენტიფიკაცია, როლები, API გასაღებები და აუდიტის ჟურნალი არ არის შეზღუდული ფასიანი გეგმით.
დაარეგისტრირეთ უსაფრთხოების გასაღები (passkey), მოიწვიეთ თქვენი გუნდი შესაბამის როლებზე და შექმენით განსაზღვრული წვდომის მქონე API გასაღები — ეს ყველაფერი 14-დღიან საცდელ პერიოდში, ბარათის მონაცემების მითითების გარეშე.
დაიწყეთ უფასოდ