Keamanan
Keamanan yang dibangun ke dalam fondasi.
Kami merancang Lakuria dengan asumsi bahwa kesalahan akan terjadi, sehingga batas-batasnya ditegakkan di lapisan terdalam: penyimpanan data, kriptografi, dan jejak audit.
Isolasi per bisnis
Setiap bisnis berbagi infrastruktur, tetapi tidak pernah berbagi data.
- Kebijakan keamanan tingkat baris yang dipaksakan untuk semua tabel aplikasi
- Konteks bisnis ditetapkan di dalam transaksi dan berakhir bersama transaksinya
- Host yang tidak dikenal dan header yang dipalsukan ditolak di tepi aplikasi
Enkripsi rahasia saat tersimpan
Kredensial integrasi dan kata sandi SMTP tidak pernah tersimpan sebagai teks biasa.
- AES-GCM dengan kunci yang terikat pada bisnis dan baris data
- Rotasi kunci tanpa henti layanan; rahasia hanya ditampilkan sekali saat dibuat
- TLS untuk semua lalu lintas publik, HSTS pada produksi
Autentikasi dan hak akses
Identitas yang kuat dan hak akses yang menolak secara bawaan.
- Kata sandi di-hash dengan Argon2; percobaan masuk dibatasi per akun dan per alamat
- Autentikasi dua langkah TOTP untuk hak akses sensitif, dengan perlindungan pemakaian ulang kode
- Peran bercakupan per perusahaan; aksi kritis memerlukan verifikasi ulang (step-up)
Jejak audit
Setiap tindakan penting tercatat dan dapat diverifikasi.
- Catatan audit hanya-tambah dengan rantai hash
- Verifikasi integritas rantai langsung dari panel
- Alamat IP disamarkan dengan hash berkunci saat disimpan
Pencadangan dan pemulihan
Data Anda dicadangkan secara terjadwal dan pemulihannya dilatih.
- Pencadangan data terjadwal dengan rotasi
- Latihan pemulihan termasuk verifikasi rantai audit setelah pulih
- Pemulihan dari skema kosong dibuktikan dengan migrasi lengkap
Infrastruktur dan aplikasi
Lapisan jaringan dan aplikasi mengikuti praktik yang ketat.
- Hosting di DigitalOcean, DNS dan perlindungan tepi oleh Cloudflare
- Kebijakan keamanan konten ketat dengan nonce, tanpa skrip pihak ketiga
- Pembatasan laju untuk masuk, API, webhook, dan formulir publik
Praktik di atas kami terapkan dan uji secara berkala sebagai bagian dari siklus rilis kami.
Pelaporan kerentanan yang bertanggung jawab
Jika Anda menemukan kelemahan keamanan di Lakuria, kami ingin mendengarnya lebih dulu dari Anda.
Mohon tidak mengakses data bisnis lain, tidak melakukan uji beban, dan tidak mengubah atau menghapus data. Gunakan panel uji milik Anda sendiri atau data contoh.
Cara melapor
- Kirim rincian ke alamat keamanan kami: langkah reproduksi, dampak, dan versi atau alamat yang diuji.
- Beri kami waktu yang wajar untuk memverifikasi dan memperbaiki terlebih dahulu, baru laporan dipublikasikan.
- Kami mengonfirmasi penerimaan laporan dan memberi kabar perkembangan perbaikannya.
- Setelah selesai, kami dengan senang hati menyebut nama Anda jika Anda berkenan.
Rincian kontak dalam format mesin tersedia di /.well-known/security.txt
- Kami tidak menempuh jalur hukum terhadap peneliti yang melapor dengan itikad baik
- Kami memperbaiki temuan berdasarkan tingkat keparahan dan memberi tahu bisnis yang terdampak
- Setiap laporan yang valid dijawab langsung oleh tim keamanan kami
Ada pertanyaan tentang keamanan atau kepatuhan?
Tim kami siap menjelaskan arsitektur dan praktik kami lebih rinci.