Паролі та облікові дані
Паролі облікових записів зберігаються хешованими, не у відкритому вигляді. Облікові дані підключення Telegram і Slack шифруються. API-токени зберігаються як SHA-256 хеші; текстовий токен показується один раз. Повні номери платіжних карток не зберігаються; на Cloud картки обробляє WayForPay.
Секрет підпису вебхука зберігається і показується у відкритому вигляді. Не вважайте, що кожне поле в базі шифрується at rest.
Доступ до робочого простору
Клієнти, активи та логи належать одному робочому простору. Middleware членства та запити в межах робочого простору тримають записи в ньому. Це не глобальний Eloquent scope на всю базу. API-токени та публічні посилання клієнтів також обмежені робочим простором. Колеги бачать лише робочі простори, куди їх запросили. Двофакторної автентифікації в продукті зараз немає.
HTTPS, HSTS і пов’язані заголовки — вимога розгортання, а не гарантія middleware на весь застосунок. Продакшен має обслуговуватися через HTTPS.
Юридичні деталі — у Політиці конфіденційності.