Безопасность

Обзор

DealCraft спроектирован так, чтобы собирать ровно столько персональных данных, сколько нужно для акции. Результаты определяются на сервере, ограничения на число игр никогда не используют исходный сетевой адрес, а данные каждой компании хранятся отдельно от данных всех остальных компаний.

Хостинг

Сервис работает в Oracle Cloud в регионе Абу-Даби, Объединённые Арабские Эмираты. База данных работает на том же сервере и недоступна из интернета. Трафик сначала проходит через Cloudflare, который отражает DDoS-атаки и отсеивает вредоносные запросы, а затем попадает в приложение только через веб-сервер, переводящий каждое соединение на зашифрованный HTTPS.

Как защищены данные

Данные при передаче шифруются с помощью TLS. Пароли хранятся в виде хешей scrypt с солью; секретные API-ключи хранятся в виде хешей SHA-256 и показываются только один раз, при создании; секреты подписи вебхуков шифруются с помощью AES-256-GCM.

IP-адрес игры хранится вместе с ней и показывается только компании, которая проводит игру. Все ограничения вместо него опираются на адрес, сокращённый до сетевого блока и подписанный секретным ключом, по которому адрес восстановить невозможно. Каждый запрос к базе данных за данными компании должен указывать эту компанию, а уровень данных отклоняет запросы, которые этого не делают.

Доступ

Доступ к рабочим серверам и базе данных есть только у оператора. Сотрудники компании отмечают награды как использованные на отдельном экране, защищённом PIN-кодом, который больше ничего не показывает, а устройства можно отозвать в любой момент.

Честные игры, защищённые от вмешательства

Результат каждой игры определяется и записывается на сервере до того, как игра его покажет. Каждая игра использует одноразовый токен, а ограничения бюджета и числа победителей проверяются в той же операции с базой данных, которая записывает выигрыш, поэтому их нельзя превысить даже при высокой нагрузке.

Резервные копии

Резервная копия базы данных создаётся каждый день. Копии хранятся пять дней на сервере и 30 дней в закрытом бакете Oracle Cloud Object Storage в том же регионе, где Oracle шифрует их при хранении.

Если что-то пошло не так

Если нарушение безопасности персональных данных затрагивает данные компании, мы уведомляем эту компанию без неоправданной задержки и в течение 48 часов с момента, когда нам стало о нём известно, как требует Соглашение об обработке данных, а также уведомляем органы власти, если этого требует закон.

Сообщение об уязвимости

Если вы нашли проблему безопасности, напишите на [email protected] и опишите подробности. Пожалуйста, дайте нам разумное время на исправление до публичного раскрытия и не обращайтесь к чужим данным во время проверки. Мы не будем предпринимать действий против добросовестных исследований, проводимых по этим правилам.

Страхование

В настоящее время у DealCraft нет страхования ответственности за киберриски. Если это изменится, на этой странице будут указаны страховщик и покрытие.

Чего у нас пока нет

У DealCraft нет сертификации SOC 2 или ISO 27001, и сервис работает в одном регионе. Вместо этого мы открыто описываем свои меры и по запросу отвечаем на опросники по безопасности.