Vad vi har. Inte vad vi hoppas ha.
Rollbaserad åtkomst. Granskning av känsliga ämnen inbyggd i pipelinen, inte påklistrad. Källförankrad arkitektur och korskontroll mot flera källor som hindrar AI:n från att skriva sådant den inte kan belägga. Subprocessors listade här per kategori och namngivna i sin helhet i DPA:n. Det vi inte ännu påstår, påstår vi inte.
Säkerhetskritiska lager körs på hanterade tjänster snarare än egen infrastruktur. Varje leverantör ansvarar för sitt eget lager. Specifika leverantörsnamn och DPA-villkor finns tillgängliga innan avtal.
Autentisering
Autentisering och sessionshantering
Autentisering, sessioner och organisationsmedlemskap delegeras till en hanterad identitetsleverantör. HermesAI lagrar eller hanterar inte råa sessionsuppgifter.
Fakturering
Fakturering och prenumerationslivscykel
Betalningsbehandling, prenumerationsstatus och checkout-flöden går genom en hanterad faktureringsleverantör. Kortdata når aldrig HermesAI:s servrar.
Databas
Primär databas
Applikationsstatus, tenant-data och redaktionella poster lagras i ett hanterat Postgres-cluster. Backuper, failover och kryptering i vila sköts av leverantören.
Cache och rate limiting
Rate limiting och transient state
In-memory-state för rate limiting, lås i feed-bearbetning och kortlivade workflow-flaggor. Ingen beständig känslig data lagras här.
Compute och hosting
Compute och hosting
Applikationens compute körs på en hanterad hostingplattform. Nätverksisolering, DDoS-skydd och TLS-terminering är plattformens standard.
CDN och edge
CDN och edge-nätverk
Statiska tillgångar och edge-routing proxas genom en hanterad CDN. WAF-regler och bot-skydd appliceras på nätverksnivå.
Kontroller implementerade i applikationslagret, synliga i den nuvarande kodbasen.
Rollstyrda produktområden
Admin-rutter och tenantens newsroom-rutter separeras på middleware-nivå. Plattformssidans roller för drift skiljs från tenantsidans redaktionella roller. Åtkomst tillämpas på serversidan vid varje begäran.
Verifiering av webhook-signaturer
Webhook-händelser för fakturering och identitet verifieras mot HMAC-signaturer från respektive leverantör innan de behandlas. Återuppspelade eller manipulerade payloads avvisas. Idempotensnycklar förhindrar dubbel behandling av samma händelse.
Hashning av API-nycklar
Tenantens integrationsnycklar lagras som hashade värden med trunkerade, maskade prefix för visning. Hela nyckeln visas endast en gång vid skapandet och kan inte hämtas från plattformen därefter.
Nätverkskontroller för webhook-mål
Utgående webhook-endpoints som anges av tenants valideras mot reserverade och icke-publika adressintervall innan användning. Detta blockerar SSRF-attacker som riktas mot interna nätverksadresser via webhook-leveranssystemet.
Driftposter
Webhook-payloads för fakturering och identitet arkiveras för granskning och incidentutredning. Dessa poster stödjer felsökning utan att enbart förlita sig på externa leverantörers loggar.
Säkerhetssidor överdriver ofta. Detta är saker som den här sidan inte påstår.
Ingen certifiering om den inte publicerats.
HermesAI innehar i nuläget inte SOC 2, ISO 27001 eller likvärdiga certifieringar. Om någon erhålls kommer den att publiceras uttryckligen. En säkerhetssida är inte en certifiering.
Inget publikt bug bounty-program.
Det finns inget aktivt publikt bug bounty-program. Säkerhetsforskare bör rapportera fynd till säkerhetskontakten. Rapporter granskas; belöningar utlovas inte.
Ingen drifttids-SLA om inte avtalad.
Free-, Plus- och Pro-planerna omfattas inte av någon drifttidsgaranti. Enterprise-avtal kan definiera SLA:er – läs det specifika avtalet.
Inget skydd mot redaktionella AI-fel.
Produkten genererar AI-artiklar. Dessa kan innehålla faktafel, felaktiga attributioner eller ofullständig bevakning. Redaktionell granskning före publicering är en utgångspunkt från grunden, inte ett valfritt steg.
Ingen ersättning för utgivarens rättighetsgranskning.
Säkerhetskontroller hanterar inte innehållslicensiering, attributionsrättigheter eller syndikeringsvillkor. Det är separata juridiska och kommersiella frågor.
Hittat ett säkerhetsproblem?
Rapportera via säkerhetskanalen. Inkludera berörd sökväg, reproduktionssteg och din uppskattade påverkan. Rapporter granskas – det finns inget publikt bounty-program.
Ingen säkerhetsinkorg publicerad ännu.
Alla kontaktkanaler →