Безопасность

Что защищено и чем это подтверждается

Платформа держит документы вашего агентства и доступ к серверам ваших клиентов. Ниже — что из этого следует технически: свойства, а не эпитеты. У каждого пункта есть механизм, который его держит.

Доступ к вашей инфраструктуре

Что платформа может сделать с вашими серверами и чего не может

Ключей от ваших серверов у нас нет

Агент на сервере сам обращается к платформе за заданиями — входящего доступа к вашим машинам у нас не заведено. Задания присылаем мы, поэтому с версии агента 4.0.0 он применяет только задание, подписанное отдельной машиной подписи: её ключ заверяет офлайн-ключ, которого на серверах платформы нет, а задание вне правил развёртывания она не подписывает. Агенты старше 4.0.0 подпись не проверяют — обновление на сервере ставите вы. Всё отправленное видно в журнале на странице сервера.

Входящих портов не открывается

Агент работает исходящими соединениями: снаружи к нему подключиться нельзя, потому что подключаться некуда.

Docker — через белый список вызовов

Агент обращается к Docker через прокси: привилегированный контейнер, расширение прав ядра и каталоги хоста за пределами рабочего каталога агента отбиваются, какое бы задание ни пришло. Сам агент пока работает от root — разделение прав установщик до 23.09.2026 не включал, исправление проверяется. Под какими правами работает агент, видно на карточке сервера.

Выпуск агента подписан офлайн-ключом

С версии 4.0.0 агент ставит обновление, только если бинарь подписан ключом выпуска, который хранится вне платформы; отпечатки вшитых ключей печатает `scopework-agent version --trust`. Ставить ли обновления вообще, решает файл политики на вашем сервере. Агенты старше 4.0.0 подпись выпуска не проверяют, пока их не обновят.

Код агентов открыт

Код агента развёртывания и агента мониторинга открыт по лицензии Apache-2.0 — основной репозиторий на GitVerse, зеркало на GitHub. Сборка из репозитория воспроизводит подписанный выпуск побайтно: хеш своего бинаря можно сверить самому.

По SSH — только по вашему действию

Платформа заходит на сервер по SSH, только когда вы сами запускаете подключение или снятие агента мониторинга по паролю или скан сервера. Пароль вводится на эту операцию и не сохраняется.

Действия можно остановить

Развёртывание приостанавливается у компании или у отдельного сервера, наблюдение при этом продолжает работать. Заморозка требует письменной причины и видна владельцу в журнале.

Доступы и шифрование

Что происходит с паролями клиентов, которые вы у нас храните

Пароли мы не можем прочитать

Значения шифруются в браузере, на сервер уезжает только шифротекст. Ключ выводится из пароля участника — у нас его нет.

У ссылки наружу свой ключ

Переданный подрядчику доступ открывается ключом из адреса ссылки: он до сервера не доходит, и по истечении срока читать там нечего.

Копии платформы — у другого провайдера

Резервные копии самой платформы хранятся не там же, где работает сервер: отказ одного поставщика не уносит вместе с данными и их копии. Копии приложений на ваших серверах — в работе, они в плане развития.

Вход и права

Кто может войти и что он увидит внутри

Второй фактор для тех, кто распоряжается компанией

Владельцу и администратору он обязателен: подобранный пароль к такой учётной записи отдаёт компанию целиком. Требование действует и на экраны, и на программный доступ к тем же данным. При включении выдаются коды восстановления.

Заказчик заходит гостем

Гостю доступно только то, что выдано точечно: ни библиотеки, ни ленты активности, ни списка участников — в том числе в обход интерфейса.

Права проверяются на каждый запрос

Доступ, снятый в проекте, закрывает документ сразу — включая уже открытую страницу витрины.

Прозрачность

Как проверить, что происходило с вашими данными

Журнал показывает, что ушло наружу

Кому выдали публичную ссылку и кто по ней приходил, что выгружали наружу, какие файлы скачивали. С фильтрами, выгрузкой и хранением год.

Пишет журнал база, а не приложение

Часть действий приходит из мобильных клиентов и напрямую, мимо веба. Запись «где удобнее» пропускала бы их молча.

Состояние платформы — открыто

Страница состояния показывает, работает ли сервис и что было за последний месяц. Когда данных нет, она так и говорит, а не рисует зелёное.

Ваши данные остаются вашими

Что мы делаем с содержимым и как его забрать

Отправку во внешние модели можно запретить

Один переключатель на странице компании закрывает отправку текстов документов и задач наружу. Платформа заранее называет цену: смысловой поиск перестанет находить новое.

Обработчики названы поимённо

Список собран по коду, а не по памяти: кому уходит почта, какие модели используются, где лежат резервные копии.

Уйти можно вместе с данными

Владелец закрывает компанию сам: доступ прекращается сразу, данные отдаются архивом, стирание — через месяц и по отдельному подтверждению.

Границы между компаниями

Почему данные одного клиента не попадут другому

Изоляцию проверяет машина

Что участник одной компании не видит данных другой — не обещание, а прогон на поднятой базе перед каждым выкатом. Не прошёл — выката нет.

Правило живёт в базе, а не в коде экрана

Доступ ограничивают политики самой базы данных: запрос мимо интерфейса упирается в ту же границу, что и кнопка на странице.

Нашли слабое место

Напишите — отвечаем не позднее следующего рабочего дня и говорим, что предприняли. Публично о находке сообщаем обобщённо и после того, как она закрыта: подробный перечень закрытых мест — это карта для поиска тех же мест у тех, кто ещё не обновился.

Сообщить о находкеsecurity.txt