Siguria e llogarisë
Siguria e serverit mbron faqet. Siguria e llogarisë mbron çelësat e tyre. Çdo hyrje në Zinn Digital® funksionon në një sistem identiteti të vetëm të bazuar në standarde — çelësa kalimi dhe WebAuthn, vërtetim me dy faktorë TOTP, hyrje me lidhje magjike, SAML SSO për ekipe ndërmarrjesh dhe agjencish — me role të hollësishme, çelësa API për çdo organizatë dhe një regjistër auditimi vetëm për shtim në prapaskenë.
Shumica e llogarive të pritjes janë thjesht një fjalëkalim në një bazë të dhënash, i lidhur me një panel kontrolli. E jona është një sistem i dedikuar identiteti — Keycloak, që mbështet OIDC dhe SAML — i cili qëndron përpara gjithçkaje: panelit të klientit, konsolës administrative të stafit, kësaj faqeje publike dhe bazës së njohurive, si dhe kërkesave tuaja për mbështetje. Identifikohuni një herë dhe do të jeni të identifikuar në të gjitha këto sisteme.
Meqenëse është ndërtuar mbi standarde të hapura dhe jo mbi një identifikim pronësor, shtresa e identitetit mund të ndërrohet në të njëjtën mënyrë si çdo komponent tjetër i platformës. Asnjë pjesë e modelit tuaj të qasjes nuk mbetet e bllokuar brenda produktit të një shitësi dhe asnjë pjesë e autentikimit të ekipit tuaj nuk varet nga mbajtja e një furnizuesi të vetëm prej nesh. Ky është i njëjti parim i mosbllokimit që zbatojmë për llogaritë CDN, DNS dhe ofruesit e pagesave.
Hyrja është e lokalizuar dhe kalimi nga faqja në ekranin e hyrjes ruan gjuhën tuaj — kështu që një ekip i shpërndarë në disa vende nuk detyrohet të përdorë një hyrje vetëm në anglisht.
Katër metoda, të gjitha të nivelit të parë, të gjitha të konfigurueshme për çdo person. Askush nuk detyrohet të zgjedhë opsionin më të dobët vetëm sepse është i vetmi në dispozicion.
Futni email-in tuaj, klikoni mbi lidhjen dhe keni hyrë. Asnjë fjalëkalim për t'u vjedhur me phishing, ripërdorur apo zbuluar në një rrjedhje të dhënash. Kjo është rruga e parazgjedhur për llogaritë e reja dhe, për shumicën e njerëzve, është e vetmja që do t'u duhet ndonjëherë.
Regjistroni një çelës kalimi — Touch ID, Face ID, Windows Hello, ose një çelës pajisjeje si YubiKey — dhe identifikohuni pa asnjë fjalëkalim. Çelësat e kalimit janë të lidhur me origjinën, kështu që një faqe identifikimi imituese nuk mund t'i marrë ato. Platforma pranon autentifikues ES256 dhe RS256 dhe preferon verifikimin e përdoruesit.
Identifikohuni me Google nëpërmjet një lidhjeje standarde të ofruesit të identitetit, në mënyrë që një llogari të trashëgojë çdo kontroll që Google Workspace juaj zbaton tashmë. Ofruesit e tjerë lidhen në të njëjtën mënyrë — asgjë në të nuk është një integrim i personalizuar.
Ruhet për njerëzit dhe skriptet që kanë nevojë për të, dhe i nënshtrohet një politike të vërtetë: të paktën dymbëdhjetë karaktere, asnjëherë emri juaj i përdoruesit ose adresa e emailit, pa ripërdorim të tre të fundit tuaj, të hakuar me Argon2. Adresat e emailit verifikohen përpara se një llogari të bëhet e përdorshme.
Faktorët e dytë janë pjesë e sistemit të identitetit, jo një shtesë që blini apo një modul që instaloni në faqen tuaj.
Nëse organizata juaj tashmë përdor një ofrues identiteti — Okta, Entra ID, Google Workspace, ose çdo gjë tjetër që mbështet SAML — ju e lidhni atë dhe stafi juaj identifikohet në Zinn Digital® me kredencialet e tyre ekzistuese të korporatës. Nuk ka asnjë fjalëkalim të dytë për t'u menaxhuar nga ekipi juaj dhe asnjë listë të dytë kontrolli për largimin nga puna që mund të harrohet.
Kjo ka më shumë rëndësi në shkallë agjencie dhe rishitësi, ku largimi i stafit përbën një ngjarje të mirëfilltë sigurie. Kur dikush largohet dhe ju e çaktivizoni atë në drejtorinë tuaj, ju keni çaktivizuar gjithashtu rrugën e tij drejt hostimit tuaj. Qasja ndjek punësimin, në mënyrë të centralizuar, në vend që të ndiqet përgjatë një duzine mjetesh SaaS.
SAML funksionon përkrah gjithçkaje tjetër në vend që ta zëvendësojë atë: kontraktorëve mund t'u jepet ende një llogari me lidhje magjike brenda një roli të përcaktuar, ndërsa stafi i përhershëm hyn përmes SSO-së. Një organizatë, një model lejeshmërie, dy dyer hyrëse.
Qasja është e kufizuar brenda strukturës organizative — nga rishitësi te klienti e deri te faqja — dhe zbatohet në vetë bazën e të dhënave përmes sigurisë në nivel rreshti, jo vetëm në aplikacion. Qasja ndërmjet qiramarrësve nuk është një politikë që u kërkojmë njerëzve ta respektojnë; është një kërkesë që nuk mund të kthejë rreshta. Katër role klientësh mbulojnë ndarjen realiste të detyrave.
Kontroll i plotë i organizatës dhe nënllogarive të saj: krijoni organizata vartëse, ftoni dhe hiqni anëtarë, caktoni role, menaxhoni çdo faqe, kryeni faturimin, menaxhoni çelësat e API-t dhe lexoni regjistrin e auditimit.
Faturat, pajtimet, mënyrat e pagesës dhe katalogu i planeve — dhe asgjë tjetër. Personi juaj përgjegjës për financat ose kontabilisti mund të shlyejë një faturë pa pasur kurrë mundësinë të prekë, pezullojë apo fshijë një faqe aktive.
Qasje në faqe dhe API pa kontroll të faturimit: shikoni dhe siguroni faqe, rinisni shërbime, pastroni memoriet e përkohshme, menaxhoni çelësat e API-së dhe biletat e punës. Qëllimisht pa qasje në mënyrat e pagesës, faturimin apo ndryshimet e planit.
Vetëm shikim në të gjithë organizatën — faqet, faturimi, planet, biletat, statusi i përkthimit dhe regjistri i auditimit. Roli i duhur për një auditor, një klient që dëshiron shikueshmëri, ose një punonjës të ri në javën e tij të parë.
Paneli i kontrollit është një mënyrë për t'u futur. API, CLI, ofruesi Terraform dhe serveri MCP janë të tjera — dhe ato i përmbahen të njëjtit model aksesi, sepse një çelës pa kufizime anashkalon çdo rol që sapo keni konfiguruar.
Një çelës API i lëshohet një organizate, jo një personi individual, dhe mbart fushëveprimet e veta. Trajtojeni atë si material kredencialesh të përbashkëta: emërtojeni sipas qëllimit të tij, jepini fushëveprimet më të ngushta që funksionojnë dhe ndërrojeni atë kur personi që e krijoi largohet.
Çelësi i papërpunuar ju shfaqet vetëm një herë, gjatë krijimit. Ajo që ne ruajmë është një hash SHA-256 dhe një parashtesë e shkurtër për kërkim. Ne nuk mund t'ju shfaqim më një çelës dhe komprometimi i bazës së të dhënave nuk i siguron një sulmuesi kredenciale funksionale.
Çdo çelës mbart fushëveprime të hollësishme të lidhura me të njëjtin katalog lejimesh që përdorin rolet, regjistron se kur është përdorur për herë të fundit dhe mund të revokohet plotësisht në çastin kur duket i dyshimtë. Çelësat e veçantë sandbox testojnë API-në pa asnjë faturim apo provizionim real prapa tyre.
Serveri MCP lejon çdo agjent me aftësi MCP të menaxhojë hostimin tuaj — dhe ai vërtetohet përmes OAuth 2.1, i kufizuar në organizatën tuaj dhe lejet e saj RBAC, me kode hyrëse të revokueshme për çdo mjet, konfirmim për veprimet destruktive, kufij shpenzimesh dhe regjistrim të plotë të auditimit. Lidhja e një asistenti AI nuk do të thotë t'i dorëzoni atij çelësat e gjithçkaje.
Çdo veprim i privilegjuar shkruan një regjistrim vetëm për shtim — kush e kreu, çfarë bëri, mbi çfarë e kreu, dëshmitë mbështetëse dhe adresën IP burimore, me një vulë kohore. Nuk është një lehtësi për korrigjimin e gabimeve; është gjurma e provave.
Jo — dhe do të preferonim të mos e bënit. Hyrja me lidhje magjike me email është parazgjedhja, dhe ju mund të regjistroni një passkey (Touch ID, Face ID, Windows Hello ose një çelës fizik) dhe të hyni pa vendosur kurrë një fjalëkalim. Emaili dhe fjalëkalimi mbeten të disponueshëm si alternativë rezervë, me një minimum prej dymbëdhjetë karakteresh, pa ripërdorim të tre të fundit dhe me njëzim hash Argon2.
Autentifikimi me dy faktorë TOTP është i integruar në shtresën e identitetit dhe mund të zbatohet me anë të rregullave në të gjithë organizatën, në vend që t'i lihet në dorë çdo anëtari për ta zgjedhur vetë. Çelësat e hyrjes (passkeys) janë alternativa më e sigurt aty ku pajisjet e ekipit tuaj i mbështesin ato, pasi eliminojnë fjalëkalimin që një sulmues do të përpiqej të vidhte përmes phishing-ut.
Po. Roli i Menaxherit të Faturimit (Billing Manager) jep qasje te faturat, pajtimet, mënyrat e pagesës dhe katalogu i planeve, dhe asgjë tjetër — asnjë mundësi për të parë, provizionuar, rinisur, pezulluar ose fshirë një faqe. E kundërta është gjithashtu e vërtetë: roli i Zhvilluesit (Developer) menaxhon faqet dhe qasjen në API pa asnjë kontroll faturimi. Rolet caktohen për çdo organizatë, kështu që një rol në një organizatë nuk jep qasje në një organizatë të veçantë dhe të palidhur — megjithëse një rol në një organizatë mëmë zbatohet për organizatat e vendosura nën të.
Revokojeni atë nga paneli dhe ajo ndalon së funksionuari menjëherë. Harku kohor i dëmit kufizohet nga ajo që ai çelës mund të bënte fillimisht, prandaj çelësat kanë fushëveprime të hollësishme dhe regjistrojnë një vulë kohore të përdorimit të fundit — fushëveprimet e ngushta dhe një gjurmë e dukshme përdorimi janë ato që e kthejnë një rrjedhje në një incident të izoluar dhe jo në një komprometim të plotë të llogarisë. Kini parasysh se çelësat i lëshohen organizatës dhe jo një individi, prandaj trajtojini ata si kredenciale të përbashkëta dhe ndërrojini ato kur njerëzit largohen. Në anën tonë ruhet vetëm një përmbledhje hash e çelësit, kështu që një rrjedhje nga baza jonë e të dhënave nuk krijon një kredencial funksional.
Po. Çdo veprim me privilegje regjistrohet në një regjistër auditimi vetëm me shtim, së bashku me kryesin, veprimin, objektivin, provat mbështetëse, IP-në e burimit dhe një vulë kohore. Rolet e pronarit dhe vetëm për lexim mund ta lexojnë atë drejtpërdrejt. Veprimet e stafit në llogarinë tuaj regjistrohen në të njëjtën gjurmë, dhe veprimet e ndjeshme ose shkatërruese të stafit mund të kërkojnë fillimisht vërtetim të përshkallëzuar ose miratim nga dy persona.
Po — SAML SSO mbështetet për llogaritë e ndërmarrjeve dhe të agjencive, kështu që stafi juaj vërtetohet me kredencialet ekzistuese të korporatës dhe çregjistrimi në drejtorinë tuaj heq gjithashtu qasjen e tyre këtu. Mund të kombinoni qasjet: SSO për personelin e përhershëm, llogari magic-link me fushëveprim të kufizuar për kontraktorët, të gjitha brenda të njëjtit model lejimesh.
Jo — fjalëkalimet qëllimisht nuk migrohen. Llogaria juaj importohet pa fjalëkalim dhe në hyrjen e parë ju ose përdorni magic-link ose vendosni një fjalëkalim të ri sipas politikës aktuale. Bartja e hash-eve të vjetra të fjalëkalimeve do të sillte dobësi të vjetra në një sistem të ri, prandaj ne nuk e bëjmë këtë.
Provë e Footprint-Free zgjat 14 ditë, nuk kërkon kartë dhe mbulon deri në pesë faqe. Ju merrni shtresën e plotë të identitetit gjatë provës — çelësat e hyrjes, vërtetimi me dy faktorë, rolet, çelësat API dhe regjistri i auditimit nuk janë të kufizuara pas një plani me pagesë.
Regjistroni një çelës aksesi, ftoni ekipin tuaj në rolet e duhura dhe lëshoni një çelës API me fushëveprim të përcaktuar — të gjitha në një periudhë prove 14-ditore pa nevojën e të dhënave të kartës.
Filloni falas