Mitä meillä on. Ei sitä, mitä toivomme saavamme.
Roolikohtainen pääsy. Arkaluonteisten aiheiden tarkastus rakennettu pipelinen sisään, ei päälle liimattuna. Lähdepohjainen arkkitehtuuri ja monilähteinen ristiintarkistus estävät AI:ta kirjoittamasta sitä, mitä se ei voi todentaa. Subprocessors lueteltuna täällä kategorioittain ja nimetty kokonaisuudessaan DPA:ssa. Mitä emme vielä väitä, sitä emme väitä.
Tietoturvakriittiset kerrokset toimivat hallinnoiduissa palveluissa eivätkä omassa infrastruktuurissa. Jokainen palveluntarjoaja vastaa omasta kerroksestaan. Tarkat palveluntarjoajien nimet ja DPA-ehdot saatavilla ennen sopimusta.
Tunnistautuminen
Tunnistautuminen ja istunnonhallinta
Tunnistautuminen, istunnot ja organisaatiojäsenyydet on delegoitu hallinnoidulle identiteettipalveluntarjoajalle. HermesAI ei tallenna eikä hallinnoi raakoja istuntotunnisteita.
Laskutus
Laskutus ja tilausten elinkaari
Maksujen käsittely, tilauksen tila ja checkout-virrat kulkevat hallinnoidun laskutuspalveluntarjoajan kautta. Korttitiedot eivät koskaan päädy HermesAI:n palvelimille.
Tietokanta
Ensisijainen tietokanta
Sovelluksen tila, asiakaskohtainen data ja toimitukselliset tietueet elävät hallinnoidussa Postgres-clusterissa. Varmuuskopiot, vikasietoisuus ja salaus levossa ovat palveluntarjoajan vastuulla.
Välimuisti ja rajoitukset
Pyyntörajoitukset ja väliaikainen tila
Muistinvaraista tilaa pyyntörajoituksille, feedin käsittelylukoille ja lyhytkestoisille työnkulun lipuille. Pysyvää arkaluonteista dataa ei säilytetä täällä.
Compute ja hosting
Compute ja hosting
Sovelluksen compute toimii hallinnoidulla hosting-alustalla. Verkon eristys, DDoS-suojaus ja TLS-päätös ovat alustan oletuksia.
CDN ja edge
CDN- ja edge-verkko
Staattiset resurssit ja edge-reititys välitetään hallinnoidun CDN:n kautta. WAF-säännöt ja bot-suojaus sovelletaan verkkokerroksessa.
Sovelluskerroksessa toteutetut hallintakeinot, näkyvissä nykyisessä koodikannassa.
Roolipohjaisesti rajatut tuotealueet
Admin-reitit ja tenantin newsroom-reitit on erotettu middleware-tasolla. Alustapuolen operatiiviset roolit ovat erillään tenantin toimituksellisista rooleista. Pääsy varmistetaan palvelinpuolella jokaisella pyynnöllä.
Webhookien allekirjoitusten varmennus
Laskutuksen ja identiteetin webhook-tapahtumat varmennetaan palveluntarjoajien HMAC-allekirjoituksia vasten ennen käsittelyä. Toistetut tai peukaloidut payloadit hylätään. Idempotenssiavaimet estävät saman tapahtuman moninkertaisen käsittelyn.
API-avainten hashays
Tenantin integraatioavaimet tallennetaan hashattuina arvoina, ja näytöllä näkyy vain typistetty maskattu etuliite. Koko avain näytetään vain kerran luonnin yhteydessä, eikä sitä voi sen jälkeen hakea alustasta.
Verkkotarkistukset webhook-kohteille
Tenanttien ilmoittamat ulospäin osoittavat webhook-endpointit validoidaan varattuja ja ei-julkisia osoitealueita vasten ennen käyttöä. Tämä estää SSRF-hyökkäykset, jotka kohdistuvat sisäisiin verkko-osoitteisiin webhookien toimitusjärjestelmän kautta.
Operatiiviset tietueet
Laskutuksen ja identiteetin webhookien payloadit arkistoidaan auditointia ja poikkeamatutkintaa varten. Nämä tietueet tukevat vianselvitystä ilman, että pitäisi luottaa pelkästään ulkoisten palveluntarjoajien lokeihin.
Tietoturvasivut liioittelevat usein. Nämä ovat asioita, joita tämä sivu ei väitä.
Ei sertifikaattia, ellei julkaistu.
HermesAI:llä ei ole tässä vaiheessa SOC 2-, ISO 27001- tai vastaavia sertifikaatteja. Jos niitä saadaan, ne julkaistaan eksplisiittisesti. Tietoturvasivu ei ole sertifikaatti.
Ei julkista bug bounty -ohjelmaa.
Aktiivista julkista bug bounty -ohjelmaa ei ole. Tietoturvatutkijoiden tulee raportoida löydökset tietoturvan yhteyskanavaan. Raportit käsitellään; palkkioita ei luvata.
Ei käytettävyys-SLA:ta ilman sopimusta.
Free-, Plus- ja Pro-tilauksiin ei sisälly käytettävyystakuuta. Enterprise-sopimukset voivat määritellä SLA:t – tarkista yksittäinen sopimus.
Ei suojaa toimituksellisilta AI-virheiltä.
Tuote generoi AI-artikkeleita. Niissä voi olla asiavirheitä, virheellisiä attribuointeja tai puutteellista kattavuutta. Toimituksellinen tarkastus ennen julkaisua on lähtökohtainen oletus, ei valinnainen vaihe.
Ei korvaa kustantajan oikeustarkastusta.
Tietoturvakontrollit eivät kata sisällön lisensointia, attribuointioikeuksia tai syndikointiehtoja. Ne ovat erillisiä oikeudellisia ja kaupallisia asioita.
Löysitkö tietoturvaongelman?
Raportoi tietoturvan yhteyskanavan kautta. Sisällytä raporttiin koskettu polku, toistovaiheet ja arvioimasi vaikutus. Raportit käsitellään – julkista bounty-ohjelmaa ei ole.
Tietoturvan saapuneet-osoitetta ei ole vielä julkaistu.
Kaikki yhteyskanavat →