Ασφάλεια & Συμμόρφωση

1. Κρυπτογράφηση

• Όλη η κίνηση εξυπηρετείται αποκλειστικά μέσω HTTPS/TLS με HSTS και αυτόματη αναβάθμιση ανασφαλών αιτημάτων.
• Τα δεδομένα στη βάση και τα αρχεία αποθηκεύονται κρυπτογραφημένα στην υποδομή του παρόχου cloud.
• Τα διαπιστευτήρια τρίτων υπηρεσιών φυλάσσονται ως secrets στον διακομιστή και δεν εκτίθενται ποτέ στον browser.

2. Έλεγχος πρόσβασης

• Πρόσβαση στα διαχειριστικά δεδομένα μόνο με πιστοποιημένο λογαριασμό και ρόλο προσωπικού.
• Οι ρόλοι τηρούνται σε ξεχωριστό πίνακα και ελέγχονται στον διακομιστή σε κάθε ενέργεια.
• Πολιτικές ασφάλειας σε επίπεδο γραμμής (RLS) εμποδίζουν κάθε άμεση πρόσβαση από τον client.

3. Άμυνα εφαρμογής

• Application firewall με κανόνες ανά διαδρομή για γνωστά μοτίβα επίθεσης (SQLi, XSS, path traversal, probing).
• Rate limiting στις δημόσιες φόρμες και στις κρίσιμες διαδρομές, με ασφαλείς απαντήσεις 429.
• Αυστηρές κεφαλίδες ασφαλείας: CSP, HSTS, nosniff, referrer policy, permissions policy.
• Επικύρωση κάθε εισόδου με σχήματα τόσο στον client όσο και στον διακομιστή.

4. Παρακολούθηση 24/7 και συμβάντα

• Αυτόματοι έλεγχοι HTTPS/TLS ανά 15 λεπτά για κάθε ενεργό domain, με έλεγχο αλυσίδας, εκδότη και ημερομηνίας λήξης.
• Καταγραφή συμβάντων ασφάλειας με σοβαρότητα, correlation ID και ροή αναγνώρισης/επίλυσης.
• Ειδοποιήσεις email μόνο για critical ευρήματα, με thresholds και αποφυγή επαναλαμβανόμενων alerts.
• Έλεγχοι εξαρτήσεων και στατική ανάλυση κώδικα σε κάθε deployment.

5. Καταγραφή και ιχνηλασιμότητα

Κάθε διαχειριστική ενέργεια, αλλαγή κατάστασης, αποστολή email και αίτημα GDPR καταγράφεται με χρήστη, χρόνο και αναγνωριστικό, ώστε να υπάρχει πλήρες ελεγκτικό ίχνος για σκοπούς συμμόρφωσης.

6. Διατήρηση και αντίγραφα ασφαλείας

Τα αντίγραφα ασφαλείας της βάσης εκτελούνται από τον πάροχο υποδομής. Τα αρχεία καταγραφής υπόκεινται σε ρυθμιζόμενη πολιτική διατήρησης και διαγράφονται αυτόματα μετά τη λήξη τους.

7. Υπεύθυνη αναφορά ευπαθειών

Αν εντοπίσετε πιθανή ευπάθεια, στείλτε αναφορά στο info@veritron.co με θέμα «Security». Ζητάμε να μην δημοσιοποιηθεί πριν αποκατασταθεί και δεσμευόμαστε για αρχική απάντηση εντός 72 ωρών.

Παρακαλούμε αποφύγετε δοκιμές που επηρεάζουν τη διαθεσιμότητα ή τα δεδομένα πραγματικών χρηστών.