Τι πραγματικά έχουμε. Όχι τι φιλοδοξούμε.
Αυτή η σελίδα περιγράφει τους ελέγχους ασφάλειας που αντικατοπτρίζονται στην τρέχουσα υλοποίηση HermesAI και τις managed υπηρεσίες που τρέχουν την πλατφόρμα. Είναι στιγμιότυπο του τι υπάρχει, όχι marketing δήλωση για το τι σχεδιάζεται.
Η πλατφόρμα χτίστηκε σε managed υπηρεσίες αντί για custom υποδομή για επίπεδα κρίσιμα για την ασφάλεια. Κάθε provider είναι υπεύθυνος για το δικό του επίπεδο.
Clerk
Πιστοποίηση και διαχείριση session
Η πιστοποίηση χρηστών, τα tokens session και η οργανική συμμετοχή ανατίθενται στο Clerk. Το HermesAI δεν αποθηκεύει ή διαχειρίζεται raw session credentials.
Polar
Χρέωση και κύκλος ζωής συνδρομών
Επεξεργασία πληρωμών, κατάσταση συνδρομής και ροές checkout τρέχουν μέσω Polar. Δεδομένα κάρτας δεν αγγίζουν ποτέ servers HermesAI.
Neon Postgres
Κύρια βάση δεδομένων
Η κατάσταση εφαρμογής, τα δεδομένα tenant και τα συντακτικά αρχεία ζουν σε managed Postgres cluster. Backups, failover και κρυπτογράφηση at rest διαχειρίζονται από τον provider.
Upstash Redis
Rate limiting και transient state
In-memory state για rate limiting, locks επεξεργασίας feed και βραχυπρόθεσμες σημαίες ροής. Δεν αποθηκεύονται μόνιμα ευαίσθητα δεδομένα εδώ.
Vercel
Compute και hosting
Όλος ο compute εφαρμογής τρέχει στο Vercel. Απομόνωση δικτύου, μετριασμός DDoS και τερματισμός TLS είναι platform defaults.
Cloudflare
CDN και edge δίκτυο
Στατικά assets και edge routing γίνονται proxy μέσω Cloudflare. Κανόνες WAF και μετριασμός bots εφαρμόζονται στο επίπεδο δικτύου.
Έλεγχοι που υλοποιούνται στο επίπεδο εφαρμογής, ορατοί στον τρέχοντα κώδικα.
Περιοχές προϊόντος με ρόλους
Διαδρομές admin και διαδρομές tenant newsroom διαχωρίζονται σε επίπεδο middleware. Οι ρόλοι πλατφόρμας (admin, support) είναι διαφορετικοί από τους ρόλους newsroom (owner, editor, journalist, reviewer, viewer). Η πρόσβαση επιβάλλεται server-side σε κάθε αίτημα.
Επιβεβαίωση υπογραφής webhook
Τα billing events από Polar και τα identity events από Clerk επαληθεύονται έναντι των αντίστοιχων υπογραφών HMAC πριν την επεξεργασία. Replayed ή αλλοιωμένα payloads απορρίπτονται. Idempotency keys αποτρέπουν διπλή επεξεργασία του ίδιου event.
Hashing κλειδιών API
Τα κλειδιά ολοκλήρωσης tenant αποθηκεύονται ως hashed values με αποκομμένα masked prefixes για εμφάνιση. Το πλήρες κλειδί εμφανίζεται μόνο μία φορά κατά τη δημιουργία και δεν μπορεί να ανακτηθεί από την πλατφόρμα μετά.
Έλεγχοι δικτύου για webhook targets
Τα outbound webhook endpoints που υποβάλλουν tenants επικυρώνονται έναντι reserved και μη-δημόσιων εύρους διευθύνσεων πριν τη χρήση. Αυτό αποκλείει επιθέσεις SSRF που στοχεύουν εσωτερικές διευθύνσεις δικτύου μέσω του συστήματος παράδοσης webhook.
Λειτουργικά αρχεία
Τα payloads webhook χρέωσης και ταυτότητας αρχειοθετούνται για audit και διερεύνηση συμβάντων. Αυτά τα αρχεία υποστηρίζουν την αντιμετώπιση προβλημάτων χωρίς να βασίζονται μόνο σε εξωτερικά logs provider.
Οι σελίδες ασφάλειας συχνά υπερβάλλουν. Αυτά είναι όσα αυτή η σελίδα δεν ισχυρίζεται.
Καμία πιστοποίηση εκτός αν δημοσιευτεί.
Το HermesAI δεν κατέχει SOC 2, ISO 27001 ή ισοδύναμες πιστοποιήσεις σε αυτό το στάδιο. Αν αποκτηθούν θα δημοσιευτούν ρητά. Μια σελίδα ασφάλειας δεν είναι πιστοποίηση.
Κανένα δημόσιο bug bounty.
Δεν υπάρχει ενεργό δημόσιο πρόγραμμα bug bounty. Οι ερευνητές ασφάλειας πρέπει να αναφέρουν ευρήματα στο κανάλι ασφάλειας. Οι αναφορές εξετάζονται· οι ανταμοιβές δεν υπόσχονται.
Κανένα uptime SLA εκτός σύμβασης.
Τα πλάνα Free, Plus και Pro δεν έχουν εγγύηση uptime. Συμβάσεις Enterprise μπορούν να ορίζουν SLAs — συμβουλευτείτε τη συγκεκριμένη συμφωνία.
Καμία πρόληψη συντακτικών λαθών AI.
Το προϊόν παράγει προσχέδια AI. Μπορεί να περιέχουν λάθη γεγονότων, λάθος αποδόσεις ή ελλιπή κάλυψη. Ο συντακτικός έλεγχος πριν τη δημοσίευση είναι σχεδιαστική παραδοχή, όχι προαιρετικό βήμα.
Κανένα υποκατάστατο για τον έλεγχο δικαιωμάτων εκδότη.
Οι έλεγχοι ασφάλειας δεν αντιμετωπίζουν αδειοδότηση περιεχομένου, δικαιώματα αναφοράς ή όρους syndication. Αυτά είναι ξεχωριστά νομικά και εμπορικά ζητήματα.
Βρήκατε ζήτημα ασφάλειας;
Αναφέρετε μέσω του καναλιού ασφάλειας. Συμπεριλάβετε το επηρεαζόμενο μονοπάτι, τα βήματα αναπαραγωγής και την εκτιμώμενη επίπτωση. Οι αναφορές εξετάζονται — δεν υπάρχει δημόσιο πρόγραμμα bounty.
Δεν έχει δημοσιευτεί ακόμη inbox ασφάλειας.
Όλα τα κανάλια επικοινωνίας →