Bezpieczeństwo

Infrastruktura, którą działy IT mogą zweryfikować

Platforma Spoti działa na infrastrukturze z centrami danych w Niemczech i centralnym systemem zarządzania instancjami. W wybranych środowiskach ochronę uzupełniają usługi Cloudflare.

Infrastruktura

Serwery w Niemczech
i izolacja każdej instancji

Platforma Spoti działa na infrastrukturze utrzymywanej przy współpracy z dostawcą hostingowym JDM, z wykorzystaniem serwerów zlokalizowanych w centrach danych Hetzner w Niemczech. Dane aplikacyjne klientów przechowywane są na terenie UE, zgodnie z konfiguracją środowiska i postanowieniami umowy powierzenia danych.

JDM · centra danych Hetzner, Niemcy (UE)
  • Centra danych Hetzner, Niemcy (UE)
  • Izolacja środowiska, bazy danych i dostępu
  • Percona Server dla baz danych
  • PHP w wersji objętej wsparciem bezpieczeństwa (8.x)
  • SSL/TLS (Let's Encrypt) w standardzie
  • SFTP/SSH per instancja

Każda instancja Spoti jest odseparowana na poziomie środowiska aplikacyjnego, bazy danych, konfiguracji serwera i dostępu administracyjnego. Nie stosujemy modelu jednej wspólnej aplikacji SaaS z jedną bazą danych. W planie Enterprise lub w ramach indywidualnych ustaleń możliwe jest uruchomienie instancji na dedykowanych zasobach.

Sieć

Ochrona warstwy sieciowej

Warstwa serwera filtruje złośliwe żądania przed PHP. Mechanizmy JDM dobieramy do konfiguracji instancji, a w wybranych środowiskach ochronę uzupełnia Cloudflare w planie Free.

Warstwa serwera / JDM
Mechanizmy dostępne, uruchamiane zależnie od konfiguracji
  • Zapora JDM Shield oraz firewall aplikacyjny 7G/8G - filtrowanie złośliwych żądań przed PHP
  • Geo-ochrona logowania: ograniczenie dostępu do UE, Polski lub wskazanych krajów
  • Blokada brute-force, XML-RPC, trackback, OPML i load-scripts
  • Filtrowanie części znanych wzorców prób XSS i SQL Injection
  • Blokada wykonywania PHP w katalogu uploadów
  • Ograniczanie nadmiernej liczby żądań na serwerze odpowiedzią HTTP 429
  • Wybrane reguły możemy wyłączyć lub złagodzić, jeśli blokują prawidłowy ruch użytkowników.
Cloudflare
Plan Free, wybrane domeny
  • Ochrona DDoS na brzegu sieci Cloudflare
  • CDN - ukrycie rzeczywistego IP serwera origin
  • SSL/TLS Full (strict), min. TLS 1.2, TLS 1.3, wymuszony HTTPS + HSTS
  • Nagłówki bezpieczeństwa: X-Content-Type-Options, Referrer-Policy, Permissions-Policy
  • Bazowy zestaw zarządzanych reguł WAF oraz reguły dopasowane do chronionych ścieżek
  • Jedna reguła ograniczania liczby żądań; próg i chronioną ścieżkę dobieramy do ruchu danej instancji
  • Mechanizmy ograniczania ruchu botów, obfuskacja adresów e-mail
  • Opcjonalnie: Cloudflare Turnstile na formularzach logowania, rejestracji i resetu hasła
  • Płatny plan Cloudflare nie jest standardem. Rozważamy go indywidualnie, gdy wymagania wykraczają poza możliwości planu Free.

Ograniczanie ruchu działa warstwowo. Aplikacja blokuje nieudane logowania według konfigurowalnych progów, serwer JDM ogranicza nadmierny ruch, a Cloudflare może objąć wybraną ścieżkę dodatkową regułą. Progi dobieramy do rzeczywistego ruchu, żeby nie blokować prawidłowych użytkowników.

Aplikacja

Zarządzanie i aktualizacje

Centralne zarządzanie aktualizacjami i ochrona przed exploitami.

Centralne zarządzanie instancjami

Agent na każdej platformie raportuje inwentarz wtyczek i motywów do centralnego systemu. Pozwala to kontrolować wersje komponentów oraz status wykrytych podatności w całej flocie.

Codzienny monitoring podatności

Baza podatności jest synchronizowana codziennie z publicznym rejestrem branżowym. Każda wykryta podatność ma jawny status i wskazane dalsze działanie.

Własne łatki i testy wydań

Gdy producent nie wydaje poprawki na czas, przenosimy łatkę do własnego wydania. Moduły przechodzą audyt kodu, a testy na żywym środowisku sprawdzają zabezpieczenia przy każdym wydaniu.

Platforma Spoti

Bezpieczeństwo aplikacji

Mechanizmy bezpieczeństwa wbudowane w platformę Spoti - od warstwy uwierzytelniania po obsługę plików.

Uprawnienia i role

Model RBAC - każda rola ma ściśle określony zakres dostępu do funkcji platformy. Obowiązuje zasada minimalnych uprawnień.

HTTPS + HSTS

Platforma działa wyłącznie przez szyfrowane połączenie HTTPS z wymuszonym HSTS. Ograniczenie ryzyka ataków MITM i przechwycenia sesji.

Ochrona przed brute-force

Automatyczne blokady po serii nieudanych logowań, z eskalacją przy kolejnych zdarzeniach. Progi i okna czasowe są konfigurowalne. Podstawą blokady jest para adres IP i login; opcjonalnie można włączyć blokadę dla samego adresu IP.

Ochrona formularzy

Cloudflare Turnstile na formularzach logowania, rejestracji i resetu hasła.

Uwierzytelnienie dwuskładnikowe

2FA jest opcjonalne i obsługuje kody TOTP, jednorazowe kody e-mail oraz kody zapasowe. Administrator może wymusić 2FA dla wybranych ról. Mechanizm obejmuje także logowanie łączem i automatyczne logowanie po resecie hasła.

Dziennik zdarzeń logowania

Opcjonalny dziennik rejestruje zdarzenia uwierzytelniania i zmiany ustawień 2FA. Okres przechowywania jest konfigurowalny, domyślnie wynosi 90 dni. Adresy IP można anonimizować.

Hasła

Hasła nie są przechowywane w postaci jawnej. Platforma wykorzystuje mechanizmy haszowania haseł dostępne w aktualnym stosie WordPress/PHP - z soleniem i mechanizmami utrudniającymi odzyskanie hasła po ewentualnym wycieku bazy danych.

Baza danych

Logiczna separacja instancji. Szyfrowane połączenia z bazą danych. W trosce o przejrzystość: w środowiskach współdzielonych nie stosujemy szyfrowania TDE na poziomie silnika bazy (full-disk encryption at engine level).

Narzędzia RODO

Eksport danych użytkownika, anonimizacja kont, obsługa zgód, polityka prywatności dopasowana do projektu. Realizacja praw podmiotu danych.

Pliki i załączniki

Filtrowanie dozwolonych typów plików przy przesyłaniu. Bezpieczne przetwarzanie przesłanych danych. Ograniczenie ryzyka złośliwych skryptów w treściach.

Ochrona przed wstrzyknięciami

Kontrolowane operacje na danych, prepared statements, sanitizacja wejścia. Ograniczenie ryzyka XSS i manipulacji danymi przez złośliwe treści.

Dostęp

Zero Trust - serwisowy dostęp eTechnologie bez publicznej ekspozycji

Panel, którym eTechnologie zarządza instancjami klientów, nie jest dostępny z publicznego internetu. Dostęp chroniony jest przez Cloudflare Access (Zero Trust) - warunek wejścia to aktywna sesja Google Workspace w domenie eTechnologie.

Oznacza to: współpracownik, który traci konto Google w domenie @etechnologie.pl, traci dostęp natychmiastowo - bez ręcznego cofania uprawnień w osobnym systemie. Mechanizm dotyczy naszego dostępu serwisowego i jest aktywny niezależnie od planu klienta.

Kto może zarządzać Twoją instancją
1
Żądanie dostępu trafia do Cloudflare Access
2
Wymagana autentykacja przez Google Workspace
3
Weryfikacja: czy konto należy do domeny @etechnologie.pl
Dostęp tylko dla osób z eTechnologie z aktywnym kontem firmowym
Reagowanie na incydenty

Zdefiniowana procedura reakcji

Każdy incydent bezpieczeństwa jest klasyfikowany, izolowany i obsługiwany według udokumentowanej procedury - z powiadomieniem klienta w określonym czasie. Celem operacyjnym jest ograniczenie skutków i przywrócenie działania.

P1 - Krytyczny
Niedostępność platformy, aktywny incydent bezpieczeństwa
do 1h
Reakcja
Cel operacyjnyograniczenie skutków / obejście / rozpoczęcie przywracania do 8h
P2 - Wysoki
Poważny błąd funkcjonalny lub podatność wysokiego ryzyka
do 4h
Reakcja
Cel operacyjnyplan naprawczy lub obejście do 24h
P3 - Średni
Błąd średniego wpływu
do 1 dnia roboczego
Reakcja
Cel operacyjnynaprawa w uzgodnionym terminie
P4 - Niski
Zmiana, konsultacja, drobna poprawka
według kolejki
Reakcja
Cel operacyjnytermin ustalany indywidualnie
RODO

Dane i wsparcie zgodności z RODO

Dane aplikacyjne klientów przechowujemy na infrastrukturze w UE. Dostawcy infrastruktury i usług wspierających mają udokumentowane relacje powierzenia.

Lokalizacja danych
Dane aplikacyjne i bazy klientów przechowujemy na infrastrukturze w UE (JDM / centra danych Hetzner, Niemcy). Usługi wspierające - takie jak monitoring, skanowanie podatności, aktualizacje oraz, jeśli dotyczy, CDN/WAF - realizujemy z wykorzystaniem wskazanych narzędzi i podprocesorów zgodnie z dokumentacją RODO i umową powierzenia.
Umowa DPA
Umowa DPA stanowi integralną część umowy o współpracy. Może być dostosowywana dla klientów wybierających plany Business i Enterprise.
Retencja danych
Po zakończeniu współpracy dane przechowywane przez 30 dni, następnie trwale usuwane. Bez opłat za przechowywanie w tym okresie.

Pełną listę dostawców infrastruktury, usług wspierających i źródeł danych bezpieczeństwa - wraz z zakresem i lokalizacją powierzenia - dostarczamy w umowie.

Backup

Dzienny backup z 30-dniową retencją

Każda instancja Spoti jest objęta automatycznym backupem po stronie JDM. Kopie zapasowe przechowywane w osobnej lokalizacji - oddzielonej od głównych serwerów.

Zakres backupu obejmuje zarówno pliki WordPress (motywy, wtyczki, media, konfigurację) jak i pełną bazę danych. RPO: 24h - maksymalna utrata danych w razie awarii. RTO: do 4h w godzinach roboczych. Testy odtwarzania przeprowadzane kwartalnie.

Codziennie
Częstotliwość backupu
30 dni
Retencja kopii
Pliki + baza
Zakres backupu
do 4h
RTO (godziny robocze)
Testy bezpieczeństwa

Testy bezpieczeństwa i testy penetracyjne

Standardowo prowadzimy cykliczne audyty wewnętrzne, monitoring podatności oraz aktualizacje komponentów. W planie Enterprise lub na życzenie klienta możliwe jest przeprowadzenie zewnętrznego testu bezpieczeństwa według uzgodnionego zakresu.

Transparentność

Czego nie deklarujemy

Jasno opisujemy granice standardowego zakresu bezpieczeństwa - bez obietnic, których nie da się dotrzymać.

  • Standardowy plan Spoti nie zastępuje pełnego środowiska klasy enterprise/SOC ani indywidualnie projektowanego systemu bezpieczeństwa dla organizacji o szczególnych wymaganiach regulacyjnych.
  • Nie przechowujemy haseł w postaci jawnej, nie stosujemy modelu jednej wspólnej bazy danych dla wszystkich klientów i ograniczamy publiczną ekspozycję paneli administracyjnych.
  • Wymagania takie jak dedykowana infrastruktura, zaawansowane SSO, indywidualna retencja logów, zewnętrzne testy penetracyjne, specjalne wymagania DPA lub rozszerzona dokumentacja bezpieczeństwa omawiamy indywidualnie w planie Enterprise.
Dla działu IT

Dokumenty dla działu IT i compliance

Na potrzeby wdrożenia, audytu lub procedury zakupowej możemy przygotować:

  • opis architektury platformy
  • listę dostawców infrastruktury i podprocesorów
  • wzór umowy powierzenia danych (DPA)
  • opis backupu i retencji danych
  • opis procedury reakcji na incydenty
  • opis ról i uprawnień
  • informacje o monitoringu podatności
  • wyniki audytu wewnętrznego (dostępne w planie Enterprise)
  • odpowiedzi do ankiety bezpieczeństwa klienta
Plany

Co obejmują poszczególne plany

Podstawowe mechanizmy bezpieczeństwa są dostępne w każdym planie. Funkcje opcjonalne i warstwy ochrony dobieramy do konfiguracji danej instancji.

Funkcja bezpieczeństwa Growth Business Enterprise
Hosting JDM + izolacja instancji
Dostępne mechanizmy JDM - zakres dobierany do konfiguracji
Monitoring floty + codzienna synchronizacja bazy podatności
Backup dzienny - 30 dni retencji
HTTPS + HSTS, RBAC, ochrona brute-force, opcjonalne 2FA
Obsługa incydentów według priorytetów (P1-P4)
Opcjonalny Cloudflare Turnstile na formularzach
SSO / integracja z Active Directory -
Cloudflare CDN/WAF + ochrona DDoS dla instancji wg konfiguracji wg konfiguracji
Pełna dokumentacja techniczna bezpieczeństwa -
Zewnętrzne testy penetracyjne -
Formalny SLA z rozszerzonymi parametrami -
Dedykowany CSM -
Kontakt dla IT

Pytania od działu IT?

Przygotujemy odpowiedzi na pytania bezpieczeństwa, udostępnimy dokumentację techniczną (plan Enterprise) lub podpiszemy NDA przed rozmową.

Używamy plików cookie, aby analizować ruch na stronie i mierzyć skuteczność reklam. Polityka prywatności