Securitate & Conformitate

1. Criptarea

• Tot traficul este gestionat exclusiv prin HTTPS/TLS cu HSTS și actualizare automată a cererilor nesecurizate.
• Datele din baza de date și fișierele sunt stocate criptat în infrastructura furnizorului Cloud.
• Acreditările serviciilor terțe sunt stocate ca secrets pe server și nu sunt expuse niciodată browserului.

2. Controlul accesului

• Acces la datele administrative doar cu un cont certificat și rol de personal.
• Rolurile sunt păstrate într-un tabel separat și sunt verificate pe server la fiecare acțiune.
• Politicile de securitate la nivel de rând (RLS) împiedică orice acces direct din partea clientului.

3. Apărarea aplicației

• Application firewall cu reguli per rută pentru modele de atac cunoscute (SQLi, XSS, path traversal, probing).
• Rate limiting la formularele publice și rutele critice, cu răspunsuri securizate 429.
• Anteturi de securitate stricte: CSP, HSTS, nosniff, referrer policy, permissions policy.
• Validarea fiecărei intrări cu scheme atât pe client, cât și pe server.

4. Monitorizare 24/7 și incidente

• Verificări automate HTTPS/TLS la fiecare 15 minute pentru fiecare domeniu activ, cu verificare a lanțului, emitentului și datei de expirare.
• Înregistrarea evenimentelor de securitate cu severitate, ID de corelație și flux de identificare/rezolvare.
• Notificări prin email doar pentru rezultate critice, cu thresholds și evitarea alertelor repetate.
• Verificări de dependențe și analiză statică de cod la fiecare deployment.

5. Înregistrare și trasabilitate

Fiecare acțiune administrativă, modificare de stare, trimitere e-mail și solicitare GDPR este înregistrată cu utilizator, dată și ID, asigurând o pistă completă de audit pentru conformitate.

6. Retenție și backup-uri

Copiile de rezervă ale bazei de date sunt executate de furnizorul de infrastructură. Fișierele jurnal sunt supuse unei politici de retenție reglementate și sunt șterse automat după expirare.

7. Raportarea responsabilă a vulnerabilităților

Dacă detectați o posibilă vulnerabilitate, vă rugăm să trimiteți un raport la info@veritron.co cu subiectul «Security». Vă rugăm să nu o publicați înainte de remediere și ne angajăm să oferim un răspuns inițial în termen de 72 de ore.

Vă rugăm să evitați testele care afectează disponibilitatea sau datele utilizatorilor reali.