Bezpieczeństwo danych

Usługa, która prosi o dostęp do Twojego serwera, musi sama być bezpieczna. Poniżej opisujemy konkretne środki, nie ogólniki. Jeśli znajdziesz lukę, prosimy o zgłoszenie — dane kontaktowe są w pliku security.txt.

Dane dostępowe do Twojego serwera

• Hasła i klucze SSH są szyfrowane algorytmem AES-256-GCM zanim trafią do bazy. Klucz szyfrujący jest przechowywany poza bazą danych; sama kopia bazy nie pozwala odczytać poświadczeń.
• Panel nigdy nie odsyła poświadczeń do przeglądarki. Po zapisaniu można je tylko zastąpić nowymi.
• Poświadczenia są odszyfrowywane wyłącznie na czas połączenia z Twoim serwerem, w celu wykonania zleconej operacji.

Izolacja

• Każde sprawdzenie i naprawa działa jako osobny proces, który dostaje tylko dane połączenia do Twojego serwera. Nie ma dostępu do bazy panelu ani do kluczy innych klientów.
• Dostęp do danych w panelu jest filtrowany po koncie na poziomie zapytań do bazy: nie istnieje ścieżka „pobierz po samym identyfikatorze”.
• Panel działa bez uprawnień administratora, z ograniczonym dostępem do systemu plików.

Konta i logowanie

• Hasła są hashowane algorytmem Argon2id (parametry zgodne z rekomendacjami OWASP).
• Sesje są przechowywane po stronie serwera i można je natychmiast unieważnić. Zmiana hasła wylogowuje wszystkie urządzenia.
• Limity prób logowania liczone osobno dla adresu e-mail i adresu IP; captcha przy rejestracji i logowaniu; ograniczenie liczby rejestracji z jednego adresu.
• Konto wymaga aktywacji linkiem wysłanym na podany e-mail.

Transmisja i nagłówki

• Cała komunikacja odbywa się po HTTPS z HSTS.
• Nagłówki Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy i Permissions-Policy są ustawione dla serwisu i panelu. Możesz je sprawdzić dowolnym narzędziem do audytu nagłówków.
• Ochrona przed CSRF: ciasteczko sesji SameSite=Strict oraz kontrola nagłówka Origin dla każdego żądania zmieniającego stan.

Lokalizacja i przechowywanie

• Dane są przechowywane na serwerach w Unii Europejskiej. Wyjątkiem są fragmenty analizowanych plików przesyłane do dostawcy modelu AI (opisane w Polityce prywatności).
• Kopie zmienionych plików są przechowywane na serwerze panelu, nie na Twoim serwerze — dzięki temu atakujący, który wróci na Twój hosting, nie ma do nich dostępu.
• Nie usuwamy historii napraw ani logów: każdą zmianę da się prześledzić i cofnąć.

Czego świadomie nie robimy

• Nie instalujemy żadnego oprogramowania na Twoim serwerze. Działamy przez SSH/SFTP lub FTP i po zakończeniu rozłączamy się.
• Nie przechowujemy pełnej kopii Twojej strony — tylko pliki, które zmieniliśmy, i raport.
• Asystent AI nie wykonuje żadnej zmiany na serwerze bez Twojego zatwierdzenia; komendy bez zatwierdzenia są ograniczone do operacji tylko do odczytu.
• Nie używamy ciasteczek śledzących ani zewnętrznych skryptów analitycznych.

Zgłaszanie podatności

Jeśli znalazłeś lukę w serwisie lub panelu, napisz przez formularz kontaktowy z dopiskiem „security”. Odpowiadamy w ciągu 3 dni roboczych i nie podejmujemy kroków prawnych wobec osób zgłaszających w dobrej wierze.