Siguria e llogarisë
Siguria e serverit mbron faqet. Siguria e llogarisë mbron çelësat për to. Çdo hyrje në Zinn Digital® funksionon në një sistem identiteti të bazuar në standarde — çelësa kalimi dhe WebAuthn, dyfactorësh TOTP, hyrje me lidhje magjike, SAML SSO për ekipet e ndërmarrjeve dhe agjencive — me role të detajuara, çelësa API për organizatë dhe një regjistër auditimi vetëm për shtim pas tyre.
Shumica e llogarive të pritjes janë një fjalëkalim në një bazë të dhënash, i lidhur me një panel kontrolli. Llogaria jonë është një sistem identiteti i dedikuar — Keycloak, që flet OIDC dhe SAML — i cili qëndron përpara gjithçkaje: panelit të klientit, konsolës së administratorit të stafit, kësaj faqeje publike dhe bazës së njohurive, si dhe biletave tuaja të mbështetjes. Identifikohuni një herë dhe jeni të identifikuar në të gjitha ato.
Për shkak se është ndërtuar mbi standarde të hapura e jo mbi një hyrje pronësore, shtresa e identitetit mund të ndërrohet në të njëjtën mënyrë si çdo komponent tjetër i platformës. Asnjë pjesë e modelit tuaj të hyrjes nuk është e bllokuar brenda produktit të një furnitori dhe asnjë nga vërtetimet e ekipit tuaj nuk varet nga fakti nëse ne mbajmë një furnitor të caktuar. Ky është i njëjti parim mosbllokimi që zbatojmë për llogaritë CDN, DNS dhe ofruesit e pagesave.
Hyrja është e lokalizuar dhe kalimi nga faqja te skema e hyrjes përcjell gjuhën tuaj me vete – kështu që një ekip i shpërndarë nëpër vende të ndryshme nuk detyrohet të kalojë përmes një hyrjeje vetëm në anglisht.
Katër metoda, të gjitha të klasit të parë, të gjitha të konfigurueshme për person. Askush nuk detyrohet të përdorë opsionin më të dobët vetëm sepse ai është i vetmi në ofertë.
Vendosni email-in tuaj, klikoni linkun dhe jeni brenda. Asnjë fjalëkalim për t'u peshkuar, për t'u ripërdorur ose për të rrjedhur në ndonjë sulm. Kjo është rruga e paracaktuar për llogaritë e reja dhe për shumicën e njerëzve është e vetmja që u duhet ndonjëherë.
Regjistroni një çelës kalimi — Touch ID, Face ID, Windows Hello, ose një çelës hardware si YubiKey — dhe hyni pa pasur fjalëkalim fare. Çelësat e kalimit lidhen me origjinën, kështu që një faqe hyrjeje e rreme nuk mund të vjedhë një të tillë. Platforma pranon vërtetuesit ES256 dhe RS256 dhe preferon verifikimin e përdoruesit.
Identifikohuni me Google përmes një lidhjeje standarde të ofruesit të identitetit, kështu që një llogari trashëgon çfarëdo kontrollesh që Google Workspace juaj zbaton tashmë. Ofruesit e tjerë lidhen në të njëjtën mënyrë — asgjë rreth saj nuk është një integrim i përshtatur posaçërisht.
Mbajtur për njerëzit dhe skriptet që e duan, dhe mbështetur në një politikë reale: minimumi dymbëdhjetë karaktere, kurrë emri i përdoruesit ose adresa juaj e emailit, asnjë ripërdorim i tre të fundit, të fshehura me Argon2. Adresat e emailit verifikohen përpara se një llogari të bëhet e përdorshme.
Faktorët e dytë janë pjesë e sistemit të identitetit, jo një shtesë që e blini apo një shtojcë që e instaloni në faqen tuaj.
Nëse organizata juaj tashmë përdor një ofrues identiteti — Okta, Entra ID, Google Workspace ose çdo gjë tjetër që përdor SAML — ju mund ta lidhni atë dhe anëtarët e ekipit tuaj të hyjnë në Zinn Digital® me kredencialet e tyre ekzistuese të korporatës. Nuk ka asnjë fjalëkalim të dytë që ekipi juaj të menaxhojë, dhe asnjë listë të dytë kontrolli për largimin nga puna që mund të harrohet.
Kjo ka më shumë rëndësi në shkallën e agjencive dhe rishitësve, ku rotacioni i stafit është një ngjarje e mirëfilltë sigurie. Kur dikush largohet dhe ju e çaktivizoni atë në drejtorinë tuaj, ju keni çaktivizuar gjithashtu rrugën e tij drejt pritjes suaj (hosting). Qasja pason punësimin, në mënyrë të centralizuar, në vend që të ndiqet pas në një duzinë mjetesh SaaS.
SAML-i qëndron përkrah gjithçkaje tjetër në vend që ta zëvendësojë atë: kontraktorëve mund t'u jepet ende një llogari me link magjik brenda një roli të përcaktuar, ndërsa stafi i përhershëm hyn përmes SSO-së. Një organizatë, një model lejesh, dy dyer hyrëse.
Qasja kufizohet në pemën e organizatës — nga rishitësi te klienti e deri te sajti — dhe zbatohet në vetë bazën e të dhënave përmes sigurisë në nivel rreshti, jo vetëm në aplikacion. Qasja ndërmjet qiramarrësve nuk është thjesht një politikë që u kërkojmë njerëzve ta respektojnë; është një pyetësim që nuk mund të kthejë asnjë rresht. Katër role klientësh mbulojnë ndarjen realiste të detyrave.
Kontroll i plotë i organizatës dhe nën-llogarive të saj: krijoni organizata fëmijë, ftoni dhe hiqni anëtarë, caktoni role, menaxhoni çdo sajt, kryeni faturimin, menaxhoni çelësat API dhe lexoni regjistrin e auditimit.
Faturat, abonimet, mënyrat e pagesës dhe katalogu i planeve — dhe asgjë tjetër. Përgjegjësi juaj i financave ose kontabilisti mund të shlyejë një faturë pa pasur kurrë mundësinë të prekë, pezullojë apo fshijë një sajt aktiv.
Faqet dhe qasja në API pa kontroll faturimi: shfaqni dhe krijoni faqe, rinisni shërbimet, pastroni memorjen e fshehtë, menaxhoni çelësat e API-së dhe punoni me biletat e mbështetjes. Me dashje pa qasje në metodat e pagesave, faturimin ose ndryshimet e planit.
Vetëm lexim në të gjithë organizatën — faqet, faturimi, planet, biletat, statusi i përkthimit dhe regjistri i auditimit. Roli i duhur për një auditor, një klient që kërkon vizibilitet, ose një punonjës të ri në javën e tij të parë.
Paneli është një nga mënyrat e hyrjes. API-ja, CLI-ja, ofruesi i Terraform dhe serveri MCP janë të tjerat — dhe ato i nënshtrohen të njëjtit model aksesi, sepse një çelës i pakufizuar është një anashkalim i çdo roli që sapo keni konfiguruar.
Një çelës API i lëshohet një organizate, jo një personi individual, dhe mbart fushat e tij të veprimit të aksesit. Trajtojeni atë si material kredencialesh të përbashkëta: emërtojeni sipas qëllimit të tij, jepini fushat e aksesit më të ngushta që funksionojnë dhe përditësoni atë kur personi që e krijoi largohet.
Çelësi origjinal ju shfaqet vetëm një herë, gjatë krijimit. Ajo që ruajmë është një hash SHA-256 dhe një prefiks i shkurtër për kërkim. Ne nuk mund t'ju shfaqim përsëri një çelës, dhe një komprometim i bazës së të dhënave nuk i jep një sulmuesi kredenciale funksionale.
Çdo çelës mban fusha të detajuara të lidhura me të njëjtin katalog lejesh që përdorin rolet, regjistron se kur është përdorur për herë të fundit dhe mund të revokohet menjëherë në momentin që duket gabim. Çelësat e veçantë sandbox testojnë API-në pa faturim apo sigurim real pas tyre.
Serveri MCP i lejon çdo agjenti të aftë për MCP të menaxhojë pritjen tuaj (hosting) — dhe ai vërtetohet përmes OAuth 2.1, të përcaktuar sipas organizatës suaj dhe lejeve të saj RBAC, me tokenë të revokueshëm për çdo mjet, konfirmim për veprimet shkatërruese, kufizime shpenzimesh dhe regjistrim të plotë të auditimit. Lidhja e një asistenti AI nuk do të thotë t'i dorëzoni atij çelësat e çdo gjëje.
Çdo veprim i privilegjuar shkruan një regjistrim vetëm-për-shtesë — kush e bëri, çfarë bëri, ndaj kujt e bëri, provën mbështetëse dhe adresa IP e burimit, me një vulë kohore. Nuk është një lehtësi korrigjimi; është gjurma e provave.
Jo — dhe preferojmë të mos e bëni. Hyrja me email përmes lidhjes magjike (magic-link) është parazgjedhja, dhe ju mund të regjistroni një fjalëkalim dixhital (passkey) (Touch ID, Face ID, Windows Hello ose një çelës hardware) dhe të hyni pa vendosur kurrë një fjalëkalim. Opsioni i emailit dhe fjalëkalimit mbetet i disponueshëm si alternativë rezervë, i ruajtur në një minimum prej dymbëdhjetë karaktereve, pa ripërdorim të tre të fundit dhe me kodim Argon2.
Autentifikimi me dy faktorë TOTP është i integruar në shtresën e identitetit dhe mund të zbatohet me anë të politikave në të gjithë organizatën, në vend që t'i lihet në dorë çdo anëtari që ta zgjedhë vetë. Çelësat e hyrjes (Passkeys) janë opsioni më i fortë kur pajisjet e ekipit tuaj i mbështesin ato, pasi ato eliminojnë fjalëkalimin që një sulmues do të përpiqej ta vidhte përmes phishing-ut.
Po. Roli i Menaxherit të Faturimit jep akses te faturat, abonimet, mënyrat e pagesës dhe katalogu i planeve, dhe asgjë tjetër — asnjë mundësi për të parë, vendosur, rinisur, pezulluar apo fshirë një sit. E kundërta gjithashtu vlen: roli i Zhvilluesit menaxhon sitet dhe aksesin në API pa pasur fare kontroll mbi faturimin. Rolet caktohen për çdo organizatë, kështu që një rol në një organizatë nuk jep akses në një organizatë tjetër të ndarë dhe të palidhur — ndonëse një rol në një organizatë prind zbatohet për organizatat e vendosura brenda saj.
Revocojeni nga paneli dhe ajo ndalon së punuari menjëherë. Dritarja e dëmit kufizohet nga ajo që çelësi mund të bënte në radhë të parë, prandaj çelësat mbajnë fusha veprimi granulare dhe regjistrojnë një kohëshunë të përdorimit të fundit — fushat e ngushta të veprimit dhe një gjurmë e dukshme përdorimi janë ato që e kthejnë një rrjedhje në një incident të izoluar dhe jo në një komprometim të plotë të llogarisë. Vini re se çelësat i lëshohen organizatës dhe jo një individi, ndaj trajtojini ato si kredenciale të përbashkëta dhe rrotullojini kur njerëzit largohen. Vetëm një hash i çelësi ruhet në anën tonë, kështu që një rrjedhje nga baza jonë e të dhënave nuk prodhon një kredencial funksional.
Po. Çdo veprim i privilegjuar shkruhet në një regjistër auditimi vetëm për shtim, i cili përfshin përdoruesin, veprimin, objektivin, provat mbështetëse, IP-në e burimit dhe një kohëshënues. Rolet e pronarit dhe ato vetëm për lexim mund ta lexojnë atë direkt. Veprimet e stafit në llogarinë tuaj regjistrohen në të njëjtën gjurmë, dhe veprimet e ndjeshme ose shkatërruese të stafit mund të kërkojnë fillimisht vërtetim shtesë ose miratim nga dy persona.
Po — SAML SSO mbështetet për llogaritë e ndërmarrjeve dhe agjencive, kështu që punonjësit tuaj vërtetojnë identitetin me kredencialet ekzistuese të korporatës dhe largimi nga drejtoria juaj heq aksesin e tyre edhe këtu. Mund të kombinoni qasjet: SSO për stafin e përhershëm, llogari me lidhje magjike të përcaktuara për kontraktorët, të gjitha brenda të njëjtit model lejesh.
Jo — fjalëkalimet nuk migrohen qëllimisht. Llogaria juaj importohet pa të tillë dhe gjatë hyrjes së parë, ju ose përdorni lidhjen magjike (magic-link), ose vendosni një fjalëkalim të ri sipas rregullores aktuale. Transferimi i hashave të vjetra të fjalëkalimeve do të sillte dobësi të vjetra në një sistem të ri, ndaj nuk e bëjmë këtë.
Prova Footprint-Free zgjat 14 ditë, nuk kërkon kartë dhe mbulon deri në pesë faqe interneti. Gjatë provës, ju merrni shtresën e plotë të identitetit — çelësat e hyrjes, vërtetimin me dy hapa, rolet, çelësat API dhe regjistrin e auditimit nuk janë të bllokuar pas një plani me pagesë.
Regjistroni një passkey, ftoni ekipin tuaj në rolet e duhura dhe lëshoni një çelës API të kufizuar — të gjitha në një provë 14-ditore pa kartë dhe pa pasur nevojë për të dhënat e kartës.
Fillo falas