Infrastruktura, którą działy IT mogą zweryfikować
Platforma Spoti działa na infrastrukturze z datacenter w Niemczech, z centralnym systemem zarządzania instancjami. W planie Enterprise ochrona może być rozszerzona o Cloudflare CDN/WAF.
Serwery w Niemczech
i izolacja każdej instancji
Platforma Spoti działa na infrastrukturze utrzymywanej przy współpracy z dostawcą hostingowym JDM, z wykorzystaniem serwerów zlokalizowanych w centrach danych Hetzner w Niemczech. Dane aplikacyjne klientów przechowywane są na terenie UE, zgodnie z konfiguracją środowiska i postanowieniami umowy powierzenia danych.
- ✓ Centra danych Hetzner, Niemcy (UE)
- ✓ Izolacja środowiska, bazy danych i dostępu
- ✓ Percona Server dla baz danych
- ✓ PHP w wersji objętej wsparciem bezpieczeństwa (8.x)
- ✓ SSL/TLS (Let's Encrypt) w standardzie
- ✓ SFTP/SSH per instancja
Każda instancja Spoti jest odseparowana na poziomie środowiska aplikacyjnego, bazy danych, konfiguracji serwera i dostępu administracyjnego. Nie stosujemy modelu jednej wspólnej aplikacji SaaS z jedną bazą danych. W planie Enterprise lub w ramach indywidualnych ustaleń możliwe jest uruchomienie instancji na dedykowanych zasobach.
Ochrona warstwy sieciowej
Warstwa serwera odpowiada za hardening i filtrowanie złośliwych żądań przed PHP, a w planie Enterprise ochrona może być rozszerzona o Cloudflare CDN/WAF, w tym ochronę DDoS.
- ✓Firewall aplikacyjny 7G/8G (Perishable Press) - filtrowanie złośliwych żądań HTTP przed PHP
- ✓ Geo-ochrona logowania: dostęp do panelu z UE; na życzenie zawężenie do Polski lub wskazanych krajów
- ✓ Blokada brute force, XML-RPC, trackback, OPML, load-scripts
- ✓ Filtrowanie części znanych wzorców prób XSS i SQL Injection
- ✓ Blokada wykonywania PHP w katalogu uploadów
- → Ochrona DDoS: realizowana wyłącznie w konfiguracji z Cloudflare (plan Enterprise)
- ✓ Ochrona DDoS na brzegu sieci Cloudflare
- ✓ CDN - ukrycie rzeczywistego IP serwera origin
- ✓ SSL/TLS Full (strict), min. TLS 1.2, TLS 1.3, wymuszony HTTPS + HSTS
- ✓ Nagłówki bezpieczeństwa: X-Content-Type-Options, Referrer-Policy, Permissions-Policy
- ✓ WAF: blokada XML-RPC, challenge dla wp-login, blokada plików .env / .sql / wp-config, ochrona przed enumeracją użytkowników
- ✓ Rate limiting logowania: 5 żądań / 10 s z jednego IP
- ✓ Mechanizmy ograniczania ruchu botów, obfuskacja adresów e-mail
- ✓ Opcjonalnie: Cloudflare Turnstile na formularzach logowania, rejestracji i resetu hasła
- → Dla instancji klientów: dostępne w planie Enterprise
Zarządzanie i aktualizacje
Centralne zarządzanie aktualizacjami i ochrona przed exploitami.
Własny system do centralnego zarządzania wszystkimi instancjami Spoti. Obejmuje monitoring dostępności, skanowanie podatności i zarządzanie aktualizacjami core, wtyczek i motywów.
Korzystamy z własnego systemu monitorowania instancji Spoti oraz skanowania podatności komponentów WordPress. System wykorzystuje dane z Wordfence Intelligence v3 - aktualnej bazy podatności dla WordPress core, wtyczek i motywów.
Co najmniej raz na 6 miesięcy wykonujemy wewnętrzny przegląd bezpieczeństwa platformy Spoti: konfigurację, uprawnienia, aktualność komponentów, dostępy administracyjne, kopie zapasowe oraz znane podatności.
Bezpieczeństwo aplikacji
Mechanizmy bezpieczeństwa wbudowane w platformę Spoti - od warstwy uwierzytelniania po obsługę plików.
Uprawnienia i role
Model RBAC - każda rola ma ściśle określony zakres dostępu do funkcji platformy. Zasada minimalnych uprawnień. 2FA (TOTP) dostępne we wszystkich planach - aktywuje je użytkownik w panelu konta.
HTTPS + HSTS
Platforma działa wyłącznie przez szyfrowane połączenie HTTPS z wymuszonym HSTS. Ograniczenie ryzyka ataków MITM i przechwycenia sesji.
Hardening logowania
Rate limiting: 5 nieudanych prób = 15 minut blokady (per IP). XML-RPC wyłączony. Ochrona przed enumeracją użytkowników. Bezpieczne cookies (HttpOnly, Secure, SameSite). Minimalna długość hasła wymuszana server-side.
Ochrona formularzy
Cloudflare Turnstile na formularzach logowania, rejestracji i resetu hasła.
Uwierzytelnienie dwuskładnikowe
2FA aplikacją Authenticator (TOTP) jest dostępne we wszystkich planach i aktywowane przez użytkownika.
Hasła
Hasła nie są przechowywane w postaci jawnej. Platforma wykorzystuje mechanizmy haszowania haseł dostępne w aktualnym stosie WordPress/PHP - z soleniem i mechanizmami utrudniającymi odzyskanie hasła po ewentualnym wycieku bazy danych.
Baza danych
Logiczna separacja instancji. Szyfrowane połączenia z bazą danych. W trosce o przejrzystość: w środowiskach współdzielonych nie stosujemy szyfrowania TDE na poziomie silnika bazy (full-disk encryption at engine level).
Narzędzia RODO
Eksport danych użytkownika, anonimizacja kont, obsługa zgód, polityka prywatności dopasowana do projektu. Realizacja praw podmiotu danych.
Pliki i załączniki
Filtrowanie dozwolonych typów plików przy przesyłaniu. Bezpieczne przetwarzanie przesłanych danych. Ograniczenie ryzyka złośliwych skryptów w treściach.
Ochrona przed wstrzyknięciami
Kontrolowane operacje na danych, prepared statements, sanitizacja wejścia. Ograniczenie ryzyka XSS i manipulacji danymi przez złośliwe treści.
Zero Trust - serwisowy dostęp eTechnologie bez publicznej ekspozycji
Panel, którym eTechnologie zarządza instancjami klientów, nie jest dostępny z publicznego internetu. Dostęp chroniony jest przez Cloudflare Access (Zero Trust) - warunek wejścia to aktywna sesja Google Workspace w domenie eTechnologie.
Oznacza to: współpracownik, który traci konto Google w domenie @etechnologie.pl, traci dostęp natychmiastowo - bez ręcznego cofania uprawnień w osobnym systemie. Mechanizm dotyczy naszego dostępu serwisowego i jest aktywny niezależnie od planu klienta.
Zdefiniowana procedura reakcji
Każdy incydent bezpieczeństwa jest klasyfikowany, izolowany i obsługiwany według udokumentowanej procedury - z powiadomieniem klienta w określonym czasie. Celem operacyjnym jest ograniczenie skutków i przywrócenie działania.
Dane i wsparcie zgodności z RODO
Dane aplikacyjne klientów przechowujemy na infrastrukturze w UE. Dostawcy infrastruktury i usług wspierających mają udokumentowane relacje powierzenia.
Pełną listę dostawców infrastruktury, usług wspierających i źródeł danych bezpieczeństwa - wraz z zakresem i lokalizacją powierzenia - dostarczamy w umowie.
Dzienny backup z 30-dniową retencją
Każda instancja Spoti jest objęta automatycznym backupem po stronie JDM. Kopie zapasowe przechowywane w osobnej lokalizacji - oddzielonej od głównych serwerów.
Zakres backupu obejmuje zarówno pliki WordPress (motywy, wtyczki, media, konfigurację) jak i pełną bazę danych. RPO: 24h - maksymalna utrata danych w razie awarii. RTO: do 4h w godzinach roboczych. Testy odtwarzania przeprowadzane kwartalnie.
Testy bezpieczeństwa i testy penetracyjne
Standardowo prowadzimy cykliczne audyty wewnętrzne, monitoring podatności oraz aktualizacje komponentów. W planie Enterprise lub na życzenie klienta możliwe jest przeprowadzenie zewnętrznego testu bezpieczeństwa według uzgodnionego zakresu.
Czego nie deklarujemy
Jasno opisujemy granice standardowego zakresu bezpieczeństwa - bez obietnic, których nie da się dotrzymać.
- Standardowy plan Spoti nie zastępuje pełnego środowiska klasy enterprise/SOC ani indywidualnie projektowanego systemu bezpieczeństwa dla organizacji o szczególnych wymaganiach regulacyjnych.
- Nie przechowujemy haseł w postaci jawnej, nie stosujemy modelu jednej wspólnej bazy danych dla wszystkich klientów i ograniczamy publiczną ekspozycję paneli administracyjnych.
- Wymagania takie jak dedykowana infrastruktura, zaawansowane SSO, indywidualna retencja logów, zewnętrzne testy penetracyjne, specjalne wymagania DPA lub rozszerzona dokumentacja bezpieczeństwa omawiamy indywidualnie w planie Enterprise.
Dokumenty dla działu IT i compliance
Na potrzeby wdrożenia, audytu lub procedury zakupowej możemy przygotować:
- ✓ opis architektury platformy
- ✓ listę dostawców infrastruktury i podprocesorów
- ✓ wzór umowy powierzenia danych (DPA)
- ✓ opis backupu i retencji danych
- ✓ opis procedury reakcji na incydenty
- ✓ opis ról i uprawnień
- ✓ informacje o monitoringu podatności
- ✓ wyniki audytu wewnętrznego (dostępne w planie Enterprise)
- ✓ odpowiedzi do ankiety bezpieczeństwa klienta
Co obejmują poszczególne plany
Podstawowy stack bezpieczeństwa dostępny na każdym planie. Rozszerzone funkcje w planach Business i Enterprise.
| Funkcja bezpieczeństwa | Growth | Business | Enterprise |
|---|---|---|---|
| Hosting JDM + izolacja instancji | ✓ | ✓ | ✓ |
| SSL/TLS + firewall 7G/8G + geo-ochrona logowania (JDM) | ✓ | ✓ | ✓ |
| Monitorowanie aplikacji + skanowanie podatności (Wordfence Intelligence v3) | ✓ | ✓ | ✓ |
| Backup dzienny - 30 dni retencji | ✓ | ✓ | ✓ |
| HTTPS + HSTS, RBAC, brute force protection, 2FA (TOTP) | ✓ | ✓ | ✓ |
| Obsługa incydentów według priorytetów (P1-P4) | ✓ | ✓ | ✓ |
| Cloudflare Turnstile na formularzach (logowanie, rejestracja, reset hasła) | ✓ | ✓ | ✓ |
| SSO / integracja z Active Directory | - | ✓dodatkowo płatne | ✓ |
| Cloudflare CDN/WAF + ochrona DDoS dla Twojej instancji | - | - | ✓ |
| Pełna dokumentacja techniczna bezpieczeństwa | - | - | ✓ |
| Zewnętrzne testy penetracyjne | - | - | ✓ |
| Formalny SLA z rozszerzonymi parametrami | - | - | ✓ |
| Dedykowany CSM | - | - | ✓ |
Pytania od działu IT?
Przygotujemy odpowiedzi na pytania bezpieczeństwa, udostępnimy dokumentację techniczną (plan Enterprise) lub podpiszemy NDA przed rozmową.