Güven duruşu
Bir güvenlik npm paketi, tanımı gereği en yüksek ayrıcalıklı bağımlılıktır. Aşağıdakiler pazarlama maddesi değil, ürünün kendisidir.
Paket
- SDK'nın kaynağı MIT lisansıyla npm paketinde gelir (
dist+ kaynak haritaları); ne gönderdiğini okuyabilirsiniz. Testler yayımlanandist/üzerinde koşar, kaynak üzerinde değil. - Sıfır
postinstallbetiği.@argus/nodeda@argus/cida kurulumda hiçbir şey çalıştırmaz. - Sıfır bağımlılık. İki paket de yalnızca Node'un yerleşik modüllerini kullanır. Bunu bir satış argümanı olarak koruyoruz.
- npm provenance ve imzalı release hedefimizdir; paketler henüz npm'e yayımlanmadı.
- İstek gövdesi asla dışarı çıkmaz. Bunu bir test, kanarya değerlerle ölçer.
- Fail-open. Argus'un kendi arızası sizin isteğinizi hiçbir zaman düşürmez.
Ne saklanır
| Veri | Nasıl |
|---|---|
| Olay metadata'sı (yöntem, şablonlanmış route, durum, süre, boyutlar, user-agent, zaman) | Tenant'a göre ayrılmış, saklama süresi budanır |
| İstemci IP'si | Ham saklanmaz; tenant'a özel tuz + veritabanı dışında tutulan anahtarla HMAC-SHA256 |
| API anahtarı | Yalnızca SHA-256 özeti; düz metin bir kez gösterilir |
| Panel oturum jetonu | Yalnızca SHA-256 özeti; httpOnly çerez, 7 gün |
| Panel parolası | scrypt özeti |
| İstek/yanıt gövdesi, header değerleri, query değerleri, gerçek kimlikler | Toplanmaz |
@argus/ci ise hiçbir şey göndermez: tarama yereldir, rapor CI logunuza düşer, değerler kısaltılır.
Sözler
Vermediklerimiz: 7/24 insan müdahalesi, %99,9 uptime, "hacklenmeyeceksiniz".
Verdiğimiz:
Saldırıyı 6 ay sonra Twitter'dan değil, 60 saniye içinde Telegram'dan öğreneceksin.
Sızıntı kanıtı içeren rapor e-posta ile gönderilmez; kimlik doğrulamalı, süreli bir bağlantı arkasında panelde durur.
Sözleşme
- Veri işleyen sözleşmesi. SDK sisteminize kurulmadan önce yazılı onay ve KVKK veri işleyen sözleşmesi: ne toplandığı (metadata), nerede durduğu, ne kadar durduğu, nasıl silindiği yazılı olur.
- Sorumluluk üst sınırı 12 aylık ücrettir.
- Hedef sahipliği. Bir tarama özelliği eklenirse yalnızca DNS TXT ile sahipliği doğrulanmış alan adlarına yönelecek; bugün Argus dışarıya hiçbir tarama isteği atmaz.