Безопасность
Последнее обновление: 2026-02-19
Наш подход к безопасности
Безопасность — не запоздалая мера, а основа всего, что мы создаём. Как специалист по кибербезопасности с 12+ годами опыта в безопасности приложений, тестировании на проникновение и архитектуре безопасности, я применяю к своей собственной инфраструктуре те же стандарты, которые рекомендую клиентам.
На этой странице описаны технические и организационные меры, которые мы реализуем для защиты ваших данных.
Безопасный жизненный цикл разработки
Этот сайт разрабатывается с соблюдением практик безопасной разработки на каждом этапе. Как признанный спикер конференций по Secure SDLC и DevSecOps (с докладами на DUMP, Payment Security, CodeFest и других конференциях) и автор курса по DevSecOps, я обеспечиваю активное внедрение этих практик — а не только теоретическое.
| Фаза | Практика | Детали |
|---|---|---|
| Требования | Сбор требований безопасности | Требования Privacy by design определяются до начала разработки (GDPR Article 25) |
| Проектирование | Моделирование угроз | Архитектура проверяется на соответствие OWASP Top 10, serverless-специфичным угрозам и анализу потоков данных |
| Разработка | Безопасное программирование | Серверная валидация ввода, кодирование вывода, параметризованные запросы к БД |
| Разработка | Управление зависимостями | Минимальный набор зависимостей — ноль npm runtime-зависимостей в Worker |
| Разработка | Code review | Весь код проходит ревью перед деплоем |
| Тестирование | Тестирование безопасности | Тестирование обхода anti-bot, проверка rate limit, CORS, фаззинг ввода |
| Тестирование | Анализ исходного кода | Исходный код анализируется на паттерны инъекций, небезопасные функции, утечки секретов |
| Деплой | Иммутабельные деплои | Каждый деплой — атомарный снимок, без модификаций на месте |
| Деплой | Безопасность конфигурации | Секреты хранятся в зашифрованном окружении, никогда в коде или системе контроля версий |
| Эксплуатация | Заголовки безопасности | Настроены через провайдера инфраструктуры (Cloudflare) — поверхность атаки для манипуляции заголовками минимальна в serverless-архитектуре |
| Эксплуатация | Мониторинг | Аналитика Cloudflare Dashboard (паттерны трафика, ошибки, threat intelligence), аналитика Umami (аномалии посетителей), Telegram-уведомления в реальном времени о каждой отправке форм |
| Поддержка | Реагирование на уязвимости | Опубликован security.txt, выделенная форма для отчётов о безопасности |
Архитектура и поверхность атаки
Мы используем бессерверную архитектуру, которая устраняет традиционные серверные векторы атак.
- Нет серверов — статический сайт на Cloudflare Pages, бэкенд на Cloudflare Workers
- Нет SSH/RDP — нет удалённого доступа к серверам (их не существует)
- Нет патчинга ОС — нет операционной системы для обслуживания или патчинга
- Бессостоятельные edge-вычисления — Workers не хранят состояние, данные только в D1
- Иммутабельные деплои — каждый деплой — новый снимок
Сертификации инфраструктурного партнёра
Основная инфраструктура делегирована Cloudflare, Inc. — провайдеру с обширными сертификациями безопасности. Это минимизирует нашу поверхность атаки, одновременно используя средства безопасности корпоративного уровня.
| Сертификация | Описание |
|---|---|
| ISO 27001:2022 | Система управления информационной безопасностью (ISMS) |
| ISO 27701:2019 | Управление информацией о конфиденциальности (PIMS) |
| ISO 27018:2019 | Защита персональных данных в публичных облаках |
| SOC 2 Type II | Аудит безопасности, конфиденциальности и доступности |
| PCI DSS Level 1 | Защита данных платёжных карт (высший уровень) |
| C5:2020 (BSI) | Немецкие критерии соответствия облачных вычислений |
| EU-US Data Privacy Framework | Правовой механизм передачи данных в США |
| EU Cloud Code of Conduct | Европейские принципы облачной безопасности |
Data Processing Addendum (DPA) Cloudflare применяется ко всем аккаунтам и охватывает Стандартные договорные условия ЕС. База данных D1 работает с юрисдикцией ЕС — данные физически находятся в Европейском Союзе.
Технические меры
Мы реализуем многоуровневую защиту, пропорциональную обрабатываемым данным.
| Уровень | Мера | Детали |
|---|---|---|
| Транспорт | TLS 1.3 | Все соединения зашифрованы, HSTS включён |
| Хранение | Хеширование IP | SHA-256 с уникальной солью, необратимое |
| Anti-bot | HMAC-токены | Одноразовые токены с ограничением по времени |
| Rate limiting | По хешу IP | Адаптивные лимиты настроены для каждого эндпоинта и глобально, откалиброваны с учётом требований безопасности и бизнеса |
| Валидация ввода | Серверная | Строгая санитизация, лимиты длины, проверка типов |
| Honeypot | Скрытое поле | Скрытое обнаружение спама |
| Заголовки | Заголовки безопасности | Управляются инфраструктурой Cloudflare — X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy. Serverless-архитектура исключает риски неправильной настройки серверов приложений. |
| Аналитика | Privacy-first | Без cookies, без персональных данных, полностью анонимизировано |
| Размещение данных | Юрисдикция ЕС | Cloudflare D1 с размещением данных в ЕС |
Организационные меры
Доступ к персональным данным и инфраструктуре строго ограничен.
- Единственный оператор — только владелец сайта имеет доступ к Cloudflare Dashboard, базе данных D1 и секретам Worker
- Многофакторная аутентификация (MFA) включена на всех аккаунтах инфраструктуры
- Нет общих учётных данных — все секреты хранятся в зашифрованном окружении Cloudflare
- Нет доступа третьих лиц к инфраструктуре
- Приватный контроль версий — исходный код в приватном Git-репозитории
- Нет постоянного доступа — нет постоянных подключений к хранилищам данных
Соответствие стандартам
Наши практики безопасности соответствуют целям контроля ISO 27001. Мы не проходили формальную сертификацию, но поддерживаем документированную реализацию применимых контролей.
| Домен | Название | Статус |
|---|---|---|
| A.5 | Политики информационной безопасности | Документированный подход к безопасности (эта страница) |
| A.6 | Организация информационной безопасности | Единственный оператор, чёткие обязанности |
| A.8 | Управление активами | Инвентаризация информационных активов (ROPA) |
| A.9 | Контроль доступа | MFA, единственный оператор, нет общих учётных данных |
| A.10 | Криптография | TLS 1.3, хеширование SHA-256 с солью |
| A.12 | Безопасность эксплуатации | Иммутабельные деплои, мониторинг |
| A.13 | Безопасность коммуникаций | Всё шифруется при передаче, CORS, валидация origin |
| A.14 | Разработка систем | Практики безопасного SDLC (см. выше) |
| A.16 | Управление инцидентами | Документированный план реагирования на инциденты |
| A.17 | Непрерывность бизнеса | Документированный план обеспечения непрерывности бизнеса |
| A.18 | Соответствие | Документированное соответствие GDPR, ведётся ROPA |
Мы также ведём документированные планы реагирования на инциденты и обеспечения непрерывности бизнеса. Реестр операций по обработке данных (ROPA) ведётся в соответствии со статьёй 30 GDPR (Article 30).
Реагирование на инциденты
Мы ведём документированную процедуру реагирования на инциденты в соответствии со статьями 33-34 GDPR (Articles 33-34). План охватывает обнаружение, локализацию, оценку, уведомление (надзорного органа в течение 72 часов, субъектов данных при необходимости), устранение и пост-инцидентный анализ.
Ответственное раскрытие
Мы приветствуем сообщения о безопасности от исследователей и широкой общественности.
- security.txt — Машиночитаемый файл контактов безопасности (RFC 9116)
- PGP-ключ — Зашифруйте сообщение для конфиденциальной отправки
- Форма отчёта — Отправьте сообщение о безопасности через наш сайт
Сообщить о проблеме безопасности
Если вы обнаружили уязвимость или проблему безопасности, связанную с этим сайтом, пожалуйста, сообщите нам. Мы серьёзно относимся ко всем отчётам и ответим в течение 5 рабочих дней.