Infrastruktura, którą działy IT mogą zweryfikować
Platforma Spoti działa na infrastrukturze z centrami danych w Niemczech i centralnym systemem zarządzania instancjami. W wybranych środowiskach ochronę uzupełniają usługi Cloudflare.
Serwery w Niemczech
i izolacja każdej instancji
Platforma Spoti działa na infrastrukturze utrzymywanej przy współpracy z dostawcą hostingowym JDM, z wykorzystaniem serwerów zlokalizowanych w centrach danych Hetzner w Niemczech. Dane aplikacyjne klientów przechowywane są na terenie UE, zgodnie z konfiguracją środowiska i postanowieniami umowy powierzenia danych.
- ✓ Centra danych Hetzner, Niemcy (UE)
- ✓ Izolacja środowiska, bazy danych i dostępu
- ✓ Percona Server dla baz danych
- ✓ PHP w wersji objętej wsparciem bezpieczeństwa (8.x)
- ✓ SSL/TLS (Let's Encrypt) w standardzie
- ✓ SFTP/SSH per instancja
Każda instancja Spoti jest odseparowana na poziomie środowiska aplikacyjnego, bazy danych, konfiguracji serwera i dostępu administracyjnego. Nie stosujemy modelu jednej wspólnej aplikacji SaaS z jedną bazą danych. W planie Enterprise lub w ramach indywidualnych ustaleń możliwe jest uruchomienie instancji na dedykowanych zasobach.
Ochrona warstwy sieciowej
Warstwa serwera filtruje złośliwe żądania przed PHP. Mechanizmy JDM dobieramy do konfiguracji instancji, a w wybranych środowiskach ochronę uzupełnia Cloudflare w planie Free.
- ✓Zapora JDM Shield oraz firewall aplikacyjny 7G/8G - filtrowanie złośliwych żądań przed PHP
- ✓ Geo-ochrona logowania: ograniczenie dostępu do UE, Polski lub wskazanych krajów
- ✓ Blokada brute-force, XML-RPC, trackback, OPML i load-scripts
- ✓ Filtrowanie części znanych wzorców prób XSS i SQL Injection
- ✓ Blokada wykonywania PHP w katalogu uploadów
- ✓ Ograniczanie nadmiernej liczby żądań na serwerze odpowiedzią HTTP 429
- → Wybrane reguły możemy wyłączyć lub złagodzić, jeśli blokują prawidłowy ruch użytkowników.
- ✓ Ochrona DDoS na brzegu sieci Cloudflare
- ✓ CDN - ukrycie rzeczywistego IP serwera origin
- ✓ SSL/TLS Full (strict), min. TLS 1.2, TLS 1.3, wymuszony HTTPS + HSTS
- ✓ Nagłówki bezpieczeństwa: X-Content-Type-Options, Referrer-Policy, Permissions-Policy
- ✓ Bazowy zestaw zarządzanych reguł WAF oraz reguły dopasowane do chronionych ścieżek
- ✓ Jedna reguła ograniczania liczby żądań; próg i chronioną ścieżkę dobieramy do ruchu danej instancji
- ✓ Mechanizmy ograniczania ruchu botów, obfuskacja adresów e-mail
- ✓ Opcjonalnie: Cloudflare Turnstile na formularzach logowania, rejestracji i resetu hasła
- → Płatny plan Cloudflare nie jest standardem. Rozważamy go indywidualnie, gdy wymagania wykraczają poza możliwości planu Free.
Ograniczanie ruchu działa warstwowo. Aplikacja blokuje nieudane logowania według konfigurowalnych progów, serwer JDM ogranicza nadmierny ruch, a Cloudflare może objąć wybraną ścieżkę dodatkową regułą. Progi dobieramy do rzeczywistego ruchu, żeby nie blokować prawidłowych użytkowników.
Zarządzanie i aktualizacje
Centralne zarządzanie aktualizacjami i ochrona przed exploitami.
Agent na każdej platformie raportuje inwentarz wtyczek i motywów do centralnego systemu. Pozwala to kontrolować wersje komponentów oraz status wykrytych podatności w całej flocie.
Baza podatności jest synchronizowana codziennie z publicznym rejestrem branżowym. Każda wykryta podatność ma jawny status i wskazane dalsze działanie.
Gdy producent nie wydaje poprawki na czas, przenosimy łatkę do własnego wydania. Moduły przechodzą audyt kodu, a testy na żywym środowisku sprawdzają zabezpieczenia przy każdym wydaniu.
Bezpieczeństwo aplikacji
Mechanizmy bezpieczeństwa wbudowane w platformę Spoti - od warstwy uwierzytelniania po obsługę plików.
Uprawnienia i role
Model RBAC - każda rola ma ściśle określony zakres dostępu do funkcji platformy. Obowiązuje zasada minimalnych uprawnień.
HTTPS + HSTS
Platforma działa wyłącznie przez szyfrowane połączenie HTTPS z wymuszonym HSTS. Ograniczenie ryzyka ataków MITM i przechwycenia sesji.
Ochrona przed brute-force
Automatyczne blokady po serii nieudanych logowań, z eskalacją przy kolejnych zdarzeniach. Progi i okna czasowe są konfigurowalne. Podstawą blokady jest para adres IP i login; opcjonalnie można włączyć blokadę dla samego adresu IP.
Ochrona formularzy
Cloudflare Turnstile na formularzach logowania, rejestracji i resetu hasła.
Uwierzytelnienie dwuskładnikowe
2FA jest opcjonalne i obsługuje kody TOTP, jednorazowe kody e-mail oraz kody zapasowe. Administrator może wymusić 2FA dla wybranych ról. Mechanizm obejmuje także logowanie łączem i automatyczne logowanie po resecie hasła.
Dziennik zdarzeń logowania
Opcjonalny dziennik rejestruje zdarzenia uwierzytelniania i zmiany ustawień 2FA. Okres przechowywania jest konfigurowalny, domyślnie wynosi 90 dni. Adresy IP można anonimizować.
Hasła
Hasła nie są przechowywane w postaci jawnej. Platforma wykorzystuje mechanizmy haszowania haseł dostępne w aktualnym stosie WordPress/PHP - z soleniem i mechanizmami utrudniającymi odzyskanie hasła po ewentualnym wycieku bazy danych.
Baza danych
Logiczna separacja instancji. Szyfrowane połączenia z bazą danych. W trosce o przejrzystość: w środowiskach współdzielonych nie stosujemy szyfrowania TDE na poziomie silnika bazy (full-disk encryption at engine level).
Narzędzia RODO
Eksport danych użytkownika, anonimizacja kont, obsługa zgód, polityka prywatności dopasowana do projektu. Realizacja praw podmiotu danych.
Pliki i załączniki
Filtrowanie dozwolonych typów plików przy przesyłaniu. Bezpieczne przetwarzanie przesłanych danych. Ograniczenie ryzyka złośliwych skryptów w treściach.
Ochrona przed wstrzyknięciami
Kontrolowane operacje na danych, prepared statements, sanitizacja wejścia. Ograniczenie ryzyka XSS i manipulacji danymi przez złośliwe treści.
Zero Trust - serwisowy dostęp eTechnologie bez publicznej ekspozycji
Panel, którym eTechnologie zarządza instancjami klientów, nie jest dostępny z publicznego internetu. Dostęp chroniony jest przez Cloudflare Access (Zero Trust) - warunek wejścia to aktywna sesja Google Workspace w domenie eTechnologie.
Oznacza to: współpracownik, który traci konto Google w domenie @etechnologie.pl, traci dostęp natychmiastowo - bez ręcznego cofania uprawnień w osobnym systemie. Mechanizm dotyczy naszego dostępu serwisowego i jest aktywny niezależnie od planu klienta.
Zdefiniowana procedura reakcji
Każdy incydent bezpieczeństwa jest klasyfikowany, izolowany i obsługiwany według udokumentowanej procedury - z powiadomieniem klienta w określonym czasie. Celem operacyjnym jest ograniczenie skutków i przywrócenie działania.
Dane i wsparcie zgodności z RODO
Dane aplikacyjne klientów przechowujemy na infrastrukturze w UE. Dostawcy infrastruktury i usług wspierających mają udokumentowane relacje powierzenia.
Pełną listę dostawców infrastruktury, usług wspierających i źródeł danych bezpieczeństwa - wraz z zakresem i lokalizacją powierzenia - dostarczamy w umowie.
Dzienny backup z 30-dniową retencją
Każda instancja Spoti jest objęta automatycznym backupem po stronie JDM. Kopie zapasowe przechowywane w osobnej lokalizacji - oddzielonej od głównych serwerów.
Zakres backupu obejmuje zarówno pliki WordPress (motywy, wtyczki, media, konfigurację) jak i pełną bazę danych. RPO: 24h - maksymalna utrata danych w razie awarii. RTO: do 4h w godzinach roboczych. Testy odtwarzania przeprowadzane kwartalnie.
Testy bezpieczeństwa i testy penetracyjne
Standardowo prowadzimy cykliczne audyty wewnętrzne, monitoring podatności oraz aktualizacje komponentów. W planie Enterprise lub na życzenie klienta możliwe jest przeprowadzenie zewnętrznego testu bezpieczeństwa według uzgodnionego zakresu.
Czego nie deklarujemy
Jasno opisujemy granice standardowego zakresu bezpieczeństwa - bez obietnic, których nie da się dotrzymać.
- Standardowy plan Spoti nie zastępuje pełnego środowiska klasy enterprise/SOC ani indywidualnie projektowanego systemu bezpieczeństwa dla organizacji o szczególnych wymaganiach regulacyjnych.
- Nie przechowujemy haseł w postaci jawnej, nie stosujemy modelu jednej wspólnej bazy danych dla wszystkich klientów i ograniczamy publiczną ekspozycję paneli administracyjnych.
- Wymagania takie jak dedykowana infrastruktura, zaawansowane SSO, indywidualna retencja logów, zewnętrzne testy penetracyjne, specjalne wymagania DPA lub rozszerzona dokumentacja bezpieczeństwa omawiamy indywidualnie w planie Enterprise.
Dokumenty dla działu IT i compliance
Na potrzeby wdrożenia, audytu lub procedury zakupowej możemy przygotować:
- ✓ opis architektury platformy
- ✓ listę dostawców infrastruktury i podprocesorów
- ✓ wzór umowy powierzenia danych (DPA)
- ✓ opis backupu i retencji danych
- ✓ opis procedury reakcji na incydenty
- ✓ opis ról i uprawnień
- ✓ informacje o monitoringu podatności
- ✓ wyniki audytu wewnętrznego (dostępne w planie Enterprise)
- ✓ odpowiedzi do ankiety bezpieczeństwa klienta
Co obejmują poszczególne plany
Podstawowe mechanizmy bezpieczeństwa są dostępne w każdym planie. Funkcje opcjonalne i warstwy ochrony dobieramy do konfiguracji danej instancji.
| Funkcja bezpieczeństwa | Growth | Business | Enterprise |
|---|---|---|---|
| Hosting JDM + izolacja instancji | ✓ | ✓ | ✓ |
| Dostępne mechanizmy JDM - zakres dobierany do konfiguracji | ✓ | ✓ | ✓ |
| Monitoring floty + codzienna synchronizacja bazy podatności | ✓ | ✓ | ✓ |
| Backup dzienny - 30 dni retencji | ✓ | ✓ | ✓ |
| HTTPS + HSTS, RBAC, ochrona brute-force, opcjonalne 2FA | ✓ | ✓ | ✓ |
| Obsługa incydentów według priorytetów (P1-P4) | ✓ | ✓ | ✓ |
| Opcjonalny Cloudflare Turnstile na formularzach | ✓ | ✓ | ✓ |
| SSO / integracja z Active Directory | - | ✓dodatkowo płatne | ✓ |
| Cloudflare CDN/WAF + ochrona DDoS dla instancji | wg konfiguracji | wg konfiguracji | wg konfiguracji |
| Pełna dokumentacja techniczna bezpieczeństwa | - | - | ✓ |
| Zewnętrzne testy penetracyjne | - | - | ✓ |
| Formalny SLA z rozszerzonymi parametrami | - | - | ✓ |
| Dedykowany CSM | - | - | ✓ |
Pytania od działu IT?
Przygotujemy odpowiedzi na pytania bezpieczeństwa, udostępnimy dokumentację techniczną (plan Enterprise) lub podpiszemy NDA przed rozmową.