खाता सुरक्षा
सर्भर सुरक्षाले साइटहरूको सुरक्षा गर्छ। खाता सुरक्षाले तिनीहरूको साँचोहरूको सुरक्षा गर्छ। हरेक Zinn Digital® लगइन एक मानकीकृत पहिचान प्रणालीमा चल्छ — पासकिहरू र WebAuthn, TOTP टु-फ्याक्टर, मजिक-लिंक साइन-इन, इन्टरप्राइज र एजेन्सी टोलीहरूको लागि SAML SSO — यसको पछाडि दानेदार भूमिकाहरू, प्रति-संस्था API कुञ्जीहरू र एपेन्ड-ओन्ली अडिट लगत रहेका छन्।
धेरैजसो होस्टिंग खाताहरू कन्ट्रोल प्यानलमा जोडिएका डाटाबेसमा भएको पासवर्ड मात्र हुन्। हाम्रो प्लेटफर्म चाहिँ एउटा समर्पित पहिचान प्रणाली हो — Keycloak, जसले OIDC र SAML मा काम गर्छ — जुन सबैभन्दा अगाडि रहन्छ: ग्राहक ड्यासबोर्ड, स्टाफ एडमिन कन्सोल, यो सार्वजनिक साइट र ज्ञान केन्द्र (knowledge base), र तपाईंका सपोर्ट टिकटहरू। एक पटक साइन इन गर्नुहोस् र ती सबैमा तपाईं साइन इन हुनुहुनेछ।
यो प्राइप्राइटरी लगइनको सट्टा खुला मानकहरूमा आधारित भएकाले, प्लेटफर्मको अन्य हरेक कम्पोनेन्ट जस्तै यसको पहिचान तह पनि बदल्न सकिने खालको हुन्छ। तपाईंको पहुँच मोडेलको कुनै पनि भाग विक्रेताको उत्पादनभित्र कैद गरिएको छैन र तपाईंको टोलीको प्रमाणीकरणको कुनै पनि अंश हामीले एउटा आपूर्तिकर्तालाई कायम राखिराख्ने कुरामा निर्भर छैन। हामीले CDN खाताहरू, DNS र भुक्तानी प्रदायकहरूमा लागू गर्ने नो-लक-इन सिद्धान्त पनि यही हो।
साइन-इन स्थानीयकृत गरिएको छ, र साइटबाट लगइन स्क्रिनमा जाने क्रममा तपाईंको भाषा पनि सँगै जान्छ — त्यसैले विभिन्न देशहरूमा फैलिएको टिमले अंग्रेजी-मात्र लगइन प्रयोग गर्न बाध्य हुनुपर्दैन।
चारवटा विधिहरू, सबै प्रथम श्रेणीका, सबै प्रति व्यक्ति कन्फिगर गर्न सकिने। कसैलाई पनि सबैभन्दा कमजोर विकल्प रोज्न बाध्य पारिएको छैन किनभने यो उपलब्ध एकमात्र विकल्प हो।
तपाईंको इमेल प्रविष्ट गर्नुहोस्, लिङ्कमा क्लिक गर्नुहोस्, र तपाईं भित्र हुनुहुन्छ। फिसिङ गर्न, पुन: प्रयोग गर्न, वा कुनै डेटा उल्लङ्घनमा चुहावट हुनका लागि कुनै पासवर्ड छैन। यो नयाँ खाताहरूका लागि पूर्वनिर्धारित बाटो हो, र धेरैजसो मानिसहरूका लागि यो उनीहरूलाई कहिल्यै चाहिने एक मात्र बाटो हो।
पासकी दर्ता गर्नुहोस् — टच आईडी, फेस आईडी, विन्डोज हेलो, वा युबीकी (YubiKey) जस्तो हार्डवेयर कुञ्जी — र कुनै पनि पासवर्ड बिना साइन इन गर्नुहोस्। पासकीहरू ओरिजिनसँग जोडिएका हुन्छन्, त्यसैले मिल्दोजुल्दो लगइन पृष्ठले यसलाई चोर्न सक्दैन। प्लेटफर्मले ES256 र RS256 प्रमाणकहरू स्वीकार गर्छ र प्रयोगकर्ता प्रमाणिकरणलाई प्राथमिकता दिन्छ।
मानक पहिचान-प्रदायक जडान मार्फत Google सँग साइन इन गर्नुहोस्, ताकि एउटा खाताले तपाईंको Google Workspace मा पहिले नै लागू भएका नियन्त्रणहरू प्राप्त गर्दछ। थप प्रदायकहरूले उही तरिकाले जडान गर्छन् — यसमा केही पनि विशेष रूपमा बनाइएको इन्टिग्रेसन छैन।
यसलाई प्रयोगकर्ता र स्क्रिप्टहरूको सहजताका लागि राखिएको छ र वास्तविक नीति अनुसार लागू गरिएको छ: कम्तीमा बाह्र वटा क्यारेक्टर हुनुपर्ने, प्रयोगकर्ताको नाम वा इमेल ठेगाना प्रयोग गर्न नपाइने, पछिल्ला तीनवटा पासवर्ड फेरि प्रयोग गर्न नपाइने, र Argon2 द्वारा ह्याश गरिएको हुनुपर्ने। खाता प्रयोगयोग्य हुनु अघि इमेल ठेगानाहरू प्रमाणित गरिनेछन्।
दोस्रो कारकहरू पहिचान प्रणालीको हिस्सा हुन्, तपाईंले खरिद गर्ने कुनै अतिरिक्त सुविधा वा तपाईंको आफ्नै साइटमा इन्स्टल गर्ने प्लगइन होइनन्।
यदि तपाईंको संस्थाले पहिचान प्रदायक (identity provider) — Okta, Entra ID, Google Workspace, वा SAML समर्थन गर्ने अन्य कुनै प्रणाली — पहिले नै चलाउँछ भने, तपाईं यसलाई जडान गर्न सक्नुहुन्छ र तपाईंका कर्मचारीहरूले आफ्नै विद्यमान कर्पोरेट प्रमाणहरू प्रयोग गरेर Zinn Digital® मा लगइन गर्न सक्छन्। यसबाट तपाईंको टोलीले व्यवस्थापन गर्नुपर्ने दोस्रो पासवर्डको झन्झट हुँदैन, र बिर्सिने किसिमको अफबोर्डिङ चेकलिस्ट पनि दोहोर्याउनु पर्दैन।
एजेन्सी र रिसेलर्सको तहमा यो कुरा सबैभन्दा बढी महत्त्वपूर्ण हुन्छ, जहाँ कर्मचारीको राजीनामा वा हेरफेर एउटा वास्तविक सुरक्षा घटना हो। जब कसैले छाड्छ र तपाईंले आफ्नो डाइरेक्टरीमा तिनलाई असक्षम (disable) गर्नुहुन्छ, तपाईंले तिनीहरूको होस्टिङ पहुँचको बाटोलाई पनि असक्षम पार्नुभएको हुन्छ। दर्जनौँ SaaS उपकरणहरूमा पछ्याउनुको सट्टा, पहुँचले केन्द्रीय रूपमा रोजगारीको स्थितिलाई पछ्याउँछ।
SAML ले यसलाई प्रतिस्थापन गर्नुको सट्टा अन्य सबै कुराहरूसँगै काम गर्छ: ठेकेदारहरूलाई अझै पनि दायराबद्ध भूमिकाभित्र म्याजिक-लिंक खाता दिन सकिन्छ, जबकि स्थायी कर्मचारीहरू SSO मार्फत भित्र आउँछन्। एउटा संस्था, एउटा अनुमति मोडेल, दुईवटा अगाडका ढोकाहरू।
पहुँच संस्थागत ट्री—रिसेलरदेखि क्लाइन्ट हुँदै साइटसम्म—मा सीमित हुन्छ र एप्लिकेसनमा मात्र नभई डाटाबेसमै पङ्क्ति-स्तर सुरक्षा (row-level security) मार्फत लागू गरिन्छ। क्रस-टेनेन्ट पहुँच भनेको हामीले मान्छेहरूलाई पालना गर्न आग्रह गर्ने नीति मात्र होइन; यो एउटा यस्तो क्वेरी हो जसले पङ्क्तिहरू फर्काउनै सक्दैन। चारवटा ग्राहक भूमिकाले जिम्मेवारीहरूको यथार्थपरक विभाजनलाई समेट्छन्।
संस्था र यसका सब-एकाउन्टहरूको पूर्ण नियन्त्रण: चाइल्ड संस्थाहरू सिर्जना गर्ने, सदस्यहरूलाई आमन्त्रित गर्ने र हटाउने, भूमिका (रोल) हरू तोक्ने, प्रत्येक साइट व्यवस्थापन गर्ने, बिलिङ र इनभ्वाइसिङ सञ्चालन गर्ने, API कुञ्जीहरू व्यवस्थापन गर्ने, र अडिट ल्ग पढ्ने।
बीजकहरू, सदस्यताहरू, भुक्तानी विधिहरू र योजना क्याटलग — र अरू केही होइन। तपाईंको वित्त कर्मचारी वा लेखापालले लाइभ साइटलाई छुने, निलम्बन गर्ने वा मेटाउने क्षमता बिना नै बीजक फर्छ्यौट गर्न सक्छन्।
बिलिङ नियन्त्रण बिनाका साइटहरू र API पहुँच: साइटहरू हेर्न र व्यवस्थापन गर्न, सेवाहरू पुनस्र्थापना गर्न, क्यासहरू खाली गर्न, API कुञ्जीहरू र कार्य टिकटहरू व्यवस्थापन गर्न सकिन्छ। भुक्तानी विधिहरू, इनभ्वाइसिङ वा योजना परिवर्तनहरूमा जानीजानी कुनै पहुँच छैन।
सङ्गठनभरि हेर्ने मात्र अधिकार — साइटहरू, बिलिङ, योजनाहरू, टिकटहरू, अनुवाद स्थिति र अडिट लग। अडिटर, पारदर्शिता चाहने क्लाइन्ट, वा कामको पहिलो हप्तामा रहेका नयाँ सुरुआतकर्ताका लागि उपयुक्त भूमिका।
डashboards ले भित्र छिर्ने एउटा बाटो प्रदान गर्दछ। API, CLI, Terraform provider र MCP server हरू अन्य बाटा हुन् — र ती सबैलाई उही पहुँच मोडल अन्तर्गत राखिएको छ, किनकि एउटा unscoped key भनेको तपाईंलेर्खरै कन्फिगर गर्नुभएको हरेक role को बाइपास हो।
एउटा API कुञ्जी कुनै व्यक्तिगत व्यक्तिको लागि नभई संस्थाको लागि जारी गरिन्छ र यसको आफ्नै स्कोपहरू हुन्छन्। यसलाई साझा प्रमाण पत्रको रूपमा व्यवहार गर्नुहोस्: यसको उद्देश्य अनुसार यसको नाम दिनुहोस्, यसलाई काम गर्ने सबैभन्दा साँघुरो स्कोपहरू दिनुहोस्, र यो सिर्जना गर्ने व्यक्ति बाहिरिएपछि यसलाई फेर्नुहोस् (रोटेट गर्नुहोस्)।
कच्चा कुञ्जी तपाईँलाई सिर्जनाको समयमा एक पटक मात्र देखाइन्छ। हामीले सुरक्षित राख्ने भनेको SHA-256 ह्यास र खोजीका लागि छोटो उपसर्ग मात्र हो। हामी तपाईँलाई कुञ्जी फेरि देखाउन सक्दैनौं, र डाटाबेसमा आक्रमण हुँदा पनि आक्रमणकारीको हातमा काम गर्ने प्रमाणहरू पर्दैनन्।
प्रत्येक कुञ्जीले भूमिकाहरूले प्रयोग गर्ने समान अनुमति क्याटलगसँग जोडिएका दानेदार दायराहरू बोक्छ, यो अन्तिम पटक कहिले प्रयोग गरिएको थियो भन्ने रेकर्ड राख्छ, र यो गलत देखिएको क्षणमा नै पूर्ण रूपमा खारेज गर्न सकिन्छ। छुट्टै स्यान्डबक्स कुञ्जीहरूले पछाडि कुनै वास्तविक बिलिङ वा प्रबन्ध बिना API परीक्षण गर्दछ।
MCP सर्भरले कुनै पनि MCP-सक्षम एजेन्टलाई तपाईंको होस्टिङ व्यवस्थापन गर्न अनुमति दिन्छ — र यसले OAuth 2.1 मार्फत प्रमाणीकरण गर्छ, जुन तपाईंको संस्था र यसका RBAC अनुमतिहरूमा सीमित हुन्छ, प्रति-उपकरण खारेज गर्न सकिने टोकनहरू, विनाशकारी कार्यहरूमा पुष्टिकरण, खर्च सीमा र पूर्ण अडिट लगिङ सहित। AI सहायक जडान गर्नुको अर्थ यसलाई सबै कुराको साँचो सुम्पनु होइन।
प्रत्येक विशेष अधिकार प्राप्त कार्यले एउटा एपेंड-ओनली रेकर्ड लेख्छ — कसले गर्यो, तिनीहरूले के गरे, उनीहरूले केमा गरे, समर्थन गर्ने प्रमाण, र स्रोत IP ठेगाना, टाइमस्ट्याम्पसहित। यो डिबगिङको सुविधा होइन; यो प्रमाणको ट्रेल हो।
होइन — र हामी चाहन्छौं कि तपाईंले त्यसो नगर्नुहोस्। म्याजिक-लिङ्क इमेल साइन-इन पूर्वनिर्धारित हो, र तपाईंले पासकी (Touch ID, Face ID, Windows Hello वा हार्डवेयर की) दर्ता गर्न सक्नुहुन्छ र पासवर्ड कहिल्यै सेट नगरी साइन इन गर्न सक्नुहुन्छ। इमेल र पासवर्ड वैकल्पिक विकल्पको रूपमा उपलब्ध रहन्छ, जुन कम्तीमा बाह्र वर्णको हुनुपर्छ, पछिल्ला तीनवटा प्रयोग गर्न पाइँदैन, र यसमा Argon2 ह्यासिङ प्रयोग गरिएको हुन्छ।
TOTP दुई-चरण प्रमाणिकरण पहिचान तहमै निर्मित छ र यो प्रत्येक सदस्यको ऐच्छिक रोजाइमा छाड्नुको सट्टा संस्थाभरि नीतिमार्फत लागू गर्न सकिन्छ। यदि तपाईंको टोलीका उपकरणहरूले समर्थन गर्छन् भने पासकीहरू अझ बलियो विकल्प हुन्, किनभने यसले आक्रमणकारीले फिसिङ गर्न खोज्ने पासवर्डको आवश्यकतालाई नै हटाइदिन्छ।
हो। बिलिङ म्यानेजर भूमिकाले इनभ्वाइसहरू, सदस्यताहरू, भुक्तानी विधिहरू र योजना क्याटलगमा पहुँच प्रदान गर्छ, र अरू केहीमा होइन — कुनै पनि साइट हेर्ने, प्रोभिजन गर्ने, पुनर्सुरुवात गर्ने, निलम्बन गर्ने वा मेटाउने क्षमता हुँदैन। यसको विपरीत पनि लागु हुन्छ: डेभलपर भूमिको बिलिङमा कुनै नियन्त्रण नभई साइटहरू र API पहुँच मात्र व्यवस्थापन गर्छ। भूमिकाहरू प्रति संस्था असाइन गरिएका हुन्छन्, त्यसैले एउटा संस्थाको भूमिकाले छुट्टै, सम्बन्ध नभएको अर्को संस्थामा कुनै पहुँच प्रदान गर्दैन — यद्यपि मूल (प्यारेन्ट) संस्थाको भूमिका यस अन्तर्गत रहेका संस्थाहरूमा भने लागु हुन्छ।
यसलाई ड्यासबोर्डबाट रद्द गर्नुहोस् र यसले तुरुन्तै काम गर्न छाड्छ। क्षति त्यो कुञ्जीले सुरुमा के गर्न सक्थ्यो भन्ने कुरामा सीमित हुन्छ, जसका कारण कुञ्जीहरूले विस्तृत दायराहरू बोक्छन् र अन्तिम पटक प्रयोग गरिएको टाइमस्ट्याम्प रेकर्ड गर्छन् — साघुरो दायरा र देखिने प्रयोगको ट्रेलले नै कुनै चुहावटलाई पूर्ण खाता सम्झौताको सट्टा नियन्त्रित घटनामा परिणत गर्छन्। ध्यान दिनुहोस् कि कुञ्जीहरू कुनै व्यक्तिको सट्टा संस्थालाई जारी गरिन्छ, त्यसैले तिनीहरूलाई साझा परिचयपत्रको रूपमा व्यवहार गर्नुहोस् र मानिसहरू बाहिरिँदा तिनीहरूलाई परिवर्तन (rotate) गर्नुहोस्। हाम्रो तर्फ कुञ्जीको ह्याश (hash) मात्र भण्डारण गरिन्छ, त्यसैले हाम्रो डेटाबेसबाट भएको चुहावटले काम गर्ने परिचयपत्र उत्पन्न गर्दैन।
हो। प्रत्येक विशेष अधिकार प्राप्त कार्य एक थप-मात्र (append-only) अडिट लगमा अभिनेता, कार्य, लक्ष्य, सहयोगी प्रमाण, स्रोत IP र टाइमस्ट्याम्पसहित लेखिन्छ। मालिक र पढ्न-मात्र-सकिने भूमिकाहरूले यसलाई सीधै पढ्न सक्छन्। तपाईंको खातामा गरिएका स्टाफका कार्यहरू पनि सोही ट्रेलमा लग हुन्छन्, र संवेदनशील वा विनाशकारी स्टाफ कार्यहरूका लागि पहिले स्टेप-अप प्रमाणीकरण वा दुई-व्यक्ति अनुमोदन आवश्यक हुन सक्छ।
हो — इन्टरप्राइजेज र एजेन्सी खाताहरूका लागि SAML SSO समर्थित छ, त्यसैले तपाईंका मानिसहरूले अवस्थित कर्पोरेट प्रमाणहरू प्रयोग गरेर प्रमाणित गर्छन् र तपाईंको डाइरेक्टरीबाट अफबोर्डिङ गर्दा यहाँ उनीहरूको पहुँच पनि हट्छ। तपाईं दृष्टिकोणहरू मिलाउन सक्नुहुन्छ: स्थायी कर्मचारीहरूको लागि SSO, ठेकेदारहरूको लागि दायरा तोकिएका म्याजिक-लिङ्क खाताहरू, यी सबै एउटै अनुमति मोडेलभित्र।
होइन — पासवर्डहरू जानाजानी माइग्रेट गरिएको छैन। तपाईंको खाता पासवर्ड बिना नै आयात हुन्छ, र पहिलो पटक लग इन गर्दा तपाईं मजिक-लिङ्क प्रयोग गर्नुहुन्छ वा हालको नीति अन्तर्गत नयाँ पासवर्ड सेट गर्नुहुन्छ। पुराना पासवर्ड ह्याशहरू सार्दा नयाँ प्रणालीमा पुराना कमजोरीहरू पनि सर्ने भएकाले, हामी त्यसो गर्दैनौँ।
Footprint-Free परीक्षण १४ दिनको लागि कार्ड-रहित छ, र पाँचवटासम्म साइटहरू समेट्छ। तपाईंले परीक्षणको समयमा पूर्ण पहि identidade तह प्राप्त गर्नुहुन्छ — पासकीहरू, दुई-कारक, भूमिकाहरू, API कुञ्जीहरू र अडिट लगलाई सशुल्क योजना पछाडि सीमित गरिएको छैन।
एउटा पासकी (passkey) दर्ता गर्नुहोस्, आफ्नो टिमलाई उपयुक्त भूमिकाहरूमा आमन्त्रित गर्नुहोस्, र सीमित दायराको API कुञ्जी जारी गर्नुहोस्—यी सबै कार्ड नचाहिने र कार्ड विवरणहरू आवश्यक नपर्ने १४ दिने नि:शुल्क परीक्षणमा।
निःशुल्क सुरु गर्नुहोस्