Сигурност
Как пазим данните на вашите клиенти и какво още предстои.
Citron пази запитвания, срещи и клиентски записи, затова трябва да знаете точно как са защитени. Тук е написано какво има днес и върху какво още работим, без да закръгляме нагоре.
SOC 2: готовност, не сертификат
Citron няма сертификат SOC 2 и не е преминавал одит. През септември 2026 г. направихме оценка на пропуските спрямо критериите за сигурност, наличност и поверителност и работим по нея към одит тип I.
Клиенти и потенциални клиенти могат да поискат пълната оценка.
Налично днес
Изолация между клиентите
Всяко работно пространство е отделено на ниво данни, а автоматичен набор от тестове проверява изолацията срещу истинска база данни при всяка промяна.
Шифроване
TLS за целия трафик. Достъпите до конектори се шифроват с AES-256-GCM с ключ за всяко работно пространство и API никога не ги връща. API ключовете се пазят хеширани.
Вход с два фактора
Двуфакторен вход с приложение за удостоверяване, хеширани кодове за възстановяване, повторна проверка при чувствителни действия и настройка, която изисква 2FA от всички членове.
Роли и правила за достъп
Правата се проверяват при всяка заявка, има собствени роли и правила за достъп до записи и полета в Agency и Enterprise.
Журнал на действията
Административните събития и събитията по сигурността (вход, 2FA, достъп на агенция, експорти) се записват и могат да се изнасят или подават към SIEM.
Подписани линкове и уебкуки
Уебкуките се подписват с HMAC-SHA256. Линковете за одобрение, експорт и казуси са подписани, с изтичащ срок и с една цел.
Защита на изходящите заявки
Заявките към свързани системи се проверяват, за да не могат да достигнат вътрешни адреси.
Защитена конзола
Строга Content Security Policy с nonce, HSTS и защита от вграждане в конзолата.
Тестова среда преди продукция
Всяка промяна минава през тестова среда и автоматични проверки (типове, unit, договорни и изолационни тестове), преди да стигне до продукция.
Резюме на готовността
Основните точки от оценката на пропуските за SOC 2 и докъде сме с тях.
| Непрекъсната интеграция при всяка промяна | Налично | Проверки на типовете, тестове и компилация при всяка заявка за промяна във всички хранилища. |
|---|---|---|
| Наблюдение на грешки | В процес | Вградено в API и конзолата, с изчистени лични данни; настройват се известията и дежурствата. |
| Резервни копия и проверки за възстановяване | В процес | Нощните резервни копия на базите данни работят в продукция и се пазят 14 дни. Пълно възстановяване беше проверено на 31 октомври 2026 г. Шифрованите копия извън сървъра са изградени, но още не са включени. |
| Реакция при инциденти | В процес | Нивата на сериозност и ръководствата са написани; следват график за дежурства и учебно упражнение. |
| Задължителен вход с два фактора | В процес | Задължителен за собственици и служители на платформата, с 14 дни гратисен период; включва се в продукция. |
| Писмени политики за сигурност | Планирано | Информационна сигурност, контрол на достъпа, управление на промени и доставчици. |
| Сканиране на зависимости и контейнери | Планирано | Ще бъде добавено като задължителна проверка в CI. |
| Независим тест за проникване | Планирано | Обхватът е определен; ще се проведе след текущата работа по защитата. |
Къде са данните
Приложението, базите данни и качените файлове се хостват от Hetzner във Финландия и Германия (ЕС). Собственикът на работно пространство може по всяко време да изнесе всичките му данни в отворени формати.
Подизпълнители
| Hetzner Online GmbH | Хостинг на приложението, базите данни и качените файлове | Финландия и Германия (ЕС) |
|---|---|---|
| Stripe Payments Europe Ltd. | Абонаменти и плащания | Ирландия (ЕС), САЩ |
| Resend Inc. / Zoho Corporation | Транзакционни имейли | САЩ / ЕС |
| Anthropic PBC | AI функции в конзолата: асистентът, чернови на отговори и превод | САЩ |
| Eleven Labs Inc. | Разпознаване на реч за диктовка | САЩ |
| Cloudflare Inc. | Защита от ботове в публичните формуляри, DNS | Глобално |
| Functional Software Inc. (Sentry) | Докладване на грешки, само когато е включено | САЩ / ЕС |
По проекта на споразумението за обработка на данни, който е в правен преглед.
Докладване на уязвимост
Ако смятате, че сте открили проблем със сигурността, пишете ни с подробности и как да го възпроизведем. Моля, дайте ни разумно време да го отстраним, преди да го оповестите публично.