Тіркелгі қауіпсіздігі
Сервер қауіпсіздігі сайттарды қорғайды. Тіркелгі қауіпсіздігі олардың кілттерін қорғайды. Әрбір Zinn Digital® жүйесіне кіру стандартына негізделген бірдей сәйкестендіру жүйесінде жұмыс істейді — рұқсат кілттері және WebAuthn, TOTP екі факторлы аутентификациясы, «magic-link» арқылы кіру, кәсіпорындар мен агенттік топтары үшін SAML SSO — сонымен қатар егжей-тегжейлі рөлдер, әр ұйымға арналған API кілттері және тек қосуға рұқсат етілген аудит журналы бар.
Хостинг есептік жазбаларының көпшілігі басқару тақтасына бекітілген дерекқордағы құпиясөз болып табылады. Біздікі — OIDC және SAML хаттамаларын қолдайтын арнайы сәйкестендіру жүйесі — Keycloak, ол барлығының алдында тұр: тұтынушының басқару панелі, қызметкерлердің әкімшілік консолі, осы қоғамдық сайт пен білім қоры және сіздің қолдау көрсету өтініштеріңіз. Бір рет жүйеге кіріңіз, сонда сіз олардың барлығына бірден кіресіз.
Ол меншікті жүйеге кіруге емес, ашық стандарттарға негізделгендіктен, сәйкестендіру қабаты платформаның кез келген басқа құрамдас бөлігі сияқты ауыстырылады. Қолжетімділік үлгіңіздің ешбір бөлігі жеткізушінің өнімі ішінде шектеліп қалмайды және командаңыздың түпнұсқалығын растау біздің бір жеткізушіні сақтап қалуымызға байланысты емес. Бұл — біз CDN тіркелгілеріне, DNS және төлем провайдерлеріне қолданатын байланып қалмау қағидатымен бірдей.
Жүйеге кіру бейімделген және сайттан кіру экранына өту кезінде сіздің тіліңіз бірге сақталады — осылайша әртүрлі елдердегі команда тек ағылшын тіліндегі кіруді пайдалануға мәжбүр болмайды.
Төрт әдіс, барлығы жоғары деңгейлі, барлығы әр адамға жеке бапталады. Ұсынылған жалғыз таңдау болғандықтан ғана ешкім ең әлсіз нұсқаға мәжбүрленбейді.
Электрондық поштаңызды енгізіңіз, сілтемені басыңыз, сіз жүйеге кірдіңіз. Фишинг жасалатын, қайта пайдаланылатын немесе деректердің бұзылуы кезінде таралып кететін құпия сөз жоқ. Бұл жаңа есептік жазбаларға арналған әдепкі бағыт және адамдардың көпшілігі үшін бұл оларға қажет болатын жалғыз жол.
Кіру кілтін (passkey) тіркеңіз — Touch ID, Face ID, Windows Hello немесе YubiKey сияқты аппараттық кілт — және мүлдем құпиясөзсіз кіріңіз. Кіру кілттері түпнұсқа доменге байланысты, сондықтан ұқсас жалған кіру беті оны тартып ала алмайды. Платформа ES256 және RS256 аутентификаторларын қабылдайды және пайдаланушыны растауды жөн көреді.
Тіркелгіңіз Google Workspace қолданып отырған барлық бақылауларды қабылдауы үшін сәйкестендіру провайдерінің стандартты қосылымы арқылы Google арқылы кіріңіз. Басқа провайдерлер де дәл солай қосылады — мұнда арнайы интеграция жоқ.
Мұны қажет ететін адамдар мен скрипттер үшін сақталған және нақты саясатқа бағынады: кемінде он екі таңба, ешқашан пайдаланушы атыңыз немесе электрондық пошта мекенжайыңыз болмауы тиіс, соңғы үш құпиясөзді қайта пайдалануға болмайды, Argon2 көмегімен хэштелген. Тіркелгіні пайдалану мүмкін болғанға дейін электрондық пошта мекенжайлары тексеріледі.
Екінші факторлар жеке басты растау жүйесінің бір бөлігі болып табылады, ол сіз сатып алатын қосымша немесе өз сайтыңызға орнататын плагин емес.
Егер ұйымыңыз сәйкестендіру деректерін жеткізушіні (Okta, Entra ID, Google Workspace немесе SAML қолдайтын кез келген басқа жүйені) бұрыннан пайдаланса, оны қосасыз және қызметкерлеріңіз қолданыстағы корпоративтік тіркелгі деректерімен Zinn Digital® жүйесіне кіреді. Командаңызға басқару қажет екінші құпия сөз және ұмытып кететін екінші жұмыстан босату бақылау тізімі жоқ.
Бұл әсіресе кадрлардың ауысуы нақты қауіпсіздік оқиғасы болып табылатын агенттіктер мен риселлерлер ауқымында өте маңызды. Біреу жұмыстан кетіп, оны анықтамалығыңызда өшірген кезде, оның хостингіңізге кіру жолын да бірден өшіресіз. Қолжетімділік ондаған SaaS құралдары бойынша ізделмей, орталықтандырылған түрде жұмыспен қамту күйіне байланысты басқарылады.
SAML барлығын алмастырудың орнына, басқалармен қатар жұмыс істейді: мердігерлерге әлі де белгіленген рөл шеңберінде сиқырлы сілтемесі бар есептік жазба берілуі мүмкін, ал тұрақты қызметкерлер SSO арқылы кіреді. Бір ұйым, бір рұқсаттар моделі, екі кіреберіс есік.
Қолжетімділік ұйым құрылымымен шектелген — қайта сатушыдан клиентке және сайтқа дейін — және ол жай ғана қолданбада емес, жол деңгейіндегі қауіпсіздік арқылы дерекқордың өзінде орындалады. Жалға алушылар арасындағы қолжетімділік — бұл біз адамдардан ұстануды сұрайтын ереже емес; бұл жолдарды қайтара алмайтын сұрау. Тұтынушының төрт рөлі міндеттердің шынайы бөлінісін қамтиды.
Ұйымды және оның қосалқы есептік жазбаларын толық бақылау: қосалқы ұйымдар құру, мүшелерді шақыру және жою, рөлдерді тағайындау, әрбір сайтты басқару, шоттар мен төлемдерді жүргізу, API кілттерін басқару және аудит журналын оқу.
Шот-фактуралар, жазылымдар, төлем әдістері және тарифтер каталогы — басқа ештеңе жоқ. Сіздің қаржы маманыңыз немесе бухгалтеріңіз жұмыс істеп тұрған сайтқа қол тигізу, оны тоқтата тұру немесе жою мүмкіндігіне ие болмай-ақ шотты төлей алады.
Төлемді басқару құқығынсыз сайттарға және API интерфейсіне қол жеткізу: сайттарды қарау және әзірлеу, қызметтерді қайта іске қосу, кэшті тазалау, API кілттерін және жұмыс тапсырмаларын басқару. Төлем әдістеріне, шот-фактураларға немесе тарифтік жоспарды өзгертуге әдейі қол жеткізу мүмкіндігі берілмеген.
Ұйым бойынша тек қарау мүмкіндігі — сайттар, төлемдер, тарифтер, өтінімдер, аударма күйі және аудит журналы. Аудиторға, процесті бақылағысы келетін клиентке немесе жұмысының алғашқы аптасындағы жаңа қызметкерге арналған ең қолайлы рөл.
Басқару тақтасы — кірудің бір ғана тәсілі. API, CLI, Terraform провайдері және MCP сервері — басқа жолдары болып табылады және олар дәл сол қатынас үлгісіне бағынады, өйткені ауқымы шектелмеген кілт сіз жаңа ғана баптаған әрбір рөлді айналып өтуге мүмкіндік береді.
API кілті жеке адамға емес, ұйымға беріледі және оның өз қолданылу аясы болады. Оған ортақ тіркелгі дерегі ретінде қараңыз: оны мақсатына сай атаңыз, оған жұмыс істеуге қажетті ең тар қолданылу аясын беріңіз және оны жасаған адам қызметінен кеткен кезде кілтті жаңартыңыз.
Өңделмеген кілт сізге бір-ақ рет, жасалған кезде көрсетіледі. Біз тек SHA-256 хэшін және іздеуге арналған қысқа префиксті сақтаймыз. Біз кілтті сізге қайта көрсете алмаймыз, сондай-ақ дерекқордың бұзылуы шабуылдаушыға жарамды тіркелгі деректерін бермейді.
Әрбір кілт рөлдер пайдаланатын рұқсаттар каталогына байланыстырылған нақты ауқымдарды қамтиды, оның соңғы рет қашан пайдаланылғанын жазады және күмәнді көрінген сәтте бірден кері қайтарылуы мүмкін. Бөлек sandbox кілттері API-ді артында нақты төлем немесе ресурстарды ұсынусыз тексереді.
MCP сервері кез келген MCP қолдайтын агентке хостингіңізді басқаруға мүмкіндік береді — және ол ұйымыңызға әрі оның RBAC рұқсаттарына бағытталған OAuth 2.1 арқылы түпнұсқаланады, бұл ретте құрал бойынша қайтарып алуға болатын таңбалауыштар, жойқын әрекеттерді растау, шығындар шектеулері және толық аудит журналы қарастырылған. AI көмекшісін қосу оған барлық кілттерді беруді білдірмейді.
Әрбір артықшылықты әрекет тек қосуға болатын жазбаны жазады — оны кім жасады, не істеді, неге қатысты жасады, растайтын дәлелдер және бастапқы IP мекенжайы, уақыт белгісімен бірге. Бұл жөндеуге арналған қолайлылық емес; бұл дәлелдемелік із.
Жоқ — әрі олай істемегеніңіз жөн болар еді. Әдепкі бойынша электрондық пошта арқылы magic-link көмегімен кіру орнатылған, сондай-ақ рұқсат кілтін (Touch ID, Face ID, Windows Hello немесе аппараттық кілт) тіркеп, ешқашан құпия сөз орнатпай-ақ кіре аласыз. Электрондық пошта мен құпия сөз қосалқы нұсқа ретінде қолжетімді болып қала береді, бұл ретте құпия сөз кемінде он екі таңбадан тұруы, соңғы үш құпия сөз қайталанбауы және Argon2 көмегімен хэштелуі тиіс.
TOTP екі факторлы аутентификациясы сәйкестендіру қабатына біріктірілген және оны әр мүшенің еркіне қалдырмай, ұйым бойынша саясат арқылы міндеттеуге болады. Егер командаңыздың құрылғылары қолдаса, өту кілттері (passkeys) анағұрлым мықты нұсқа болып табылады, өйткені олар шабуылдаушы фишинг арқылы иемденгісі келетін құпия сөзді жояды.
Иә. Төлемдер жөніндегі менеджер (Billing Manager) рөлі тек шот-фактураларға, жазылымдарға, төлем әдістеріне және тарифтік жоспарлар каталогына қол жеткізуді қамтамасыз етеді, басқа ештеңеге рұқсат бермейді — сайтты қарау, ресурстарды бөлу, қайта іске қосу, уақытша тоқтату немесе жою мүмкіндігі жоқ. Керісінше де солай: Әзірлеуші (Developer) рөлі сайттар мен API қатынасын төлемдерді басқару мүмкіндігінсіз басқарады. Рөлдер әр ұйымға жеке тағайындалады, сондықтан бір ұйымдағы рөл бөлек, байланысы жоқ ұйымға қатынасу мүмкіндігін бермейді — алайда негізгі ұйымдағы рөл оның құрамындағы бағынысты ұйымдарға қолданылады.
Оны басқару тақтасынан қайтарып алыңыз, сонда ол бірден жұмысын тоқтатады. Келтірілетін залал көлемі бұл кілттің бастапқыда не істей алатындығымен шектеледі, сондықтан кілттер егжей-тегжейлі қамту аймақтарына ие және соңғы пайдаланылған уақыт белгісін жазып отырады — тар қамту аймақтары мен көрінетін пайдалану ізі ақпараттың таралып кетуін тіркелгінің толық бұзылуына емес, оқшауланған оқиғаға айналдырады. Кілттер жеке тұлғаға емес, ұйымға берілетінін ескеріңіз, сондықтан оларды ортақ сәйкестендіру деректері ретінде қарастырыңыз және қызметкерлер ауысқан кезде оларды жаңартып отырыңыз. Біздің тарапымызда кілттің тек хэші сақталады, сондықтан біздің дерекқорымыздан ақпараттың таралып кетуі жұмыс істейтін сәйкестендіру дерегін тудырмайды.
Иә. Әрбір артықшылықты әрекет тек қосымша жазба түріндегі аудит журналына орындаушы, әрекет, нысана, растайтын деректер, бастапқы IP мекенжайы және уақыт белгісімен жазылады. Иеленуші және тек оқуға арналған рөлдер оны тікелей оқи алады. Тіркелгіңіздегі қызметкерлердің әрекеттері сол бақылау ізінде тіркеледі, ал қызметкерлердің құпия немесе деструктивті әрекеттері алдын ала қосымша аутентификацияны немесе екі адамның мақұлдауын талап етуі мүмкін.
Иә — SAML SSO кәсіпорын және агенттік тіркелгілері үшін қолданылады, сондықтан қызметкерлеріңіз бар корпоративтік деректермен аутентификациядан өтеді және анықтамалығыңыздан шығару олардың мұндағы кіру рұқсатын да жояды. Тәсілдерді біріктіре аласыз: тұрақты қызметкерлер үшін SSO, мердігерлер үшін шектеулі magic-link тіркелгілері, мұның барлығы бірдей рұқсат үлгісінің ішінде.
Жоқ — құпия сөздер әдейі көшірілмейді. Тіркелгіңіз құпия сөзсіз импортталады және алғаш рет кірген кезде сиқырлы сілтемені пайдаланасыз немесе ағымдағы саясатқа сәйкес жаңа құпия сөз орнатасыз. Ескі құпия сөз хэштерін тасымалдау жаңа жүйеге ескі әлсіздіктерді әкеледі, сондықтан біз бұлай жасамаймыз.
Footprint-Free сынақ мерзімі 14 күнді құрайды, картаны талап етпейді және бес сайтқа дейін қамтиды. Сынақ мерзімі кезінде сіз сәйкестендірудің толық қабатын аласыз — өту кілттері, екі факторлы аутентификация, рөлдер, API кілттері және аудит журналы ақылы тарифпен шектелмеген.
Өткізу кілтін тіркеңіз, командаңызды тиісті рөлдерге шақырыңыз және белгілі бір ауқымдағы API кілтін шығарыңыз — мұның барлығы карта деректерін қажет етпейтін 14 күндік сынақ мерзімінде қолжетімді.
Тегін бастау