Как мы защищаем данные

Что защищено

• Пароли хранятся только как хеши PBKDF2-HMAC-SHA256 с солью.
• Токены Яндекса шифруются, ключ хранится отдельно от базы.
• Соединение — только HTTPS.
• Каждый пользователь видит только свои объекты; проверка прав на сервере при каждом запросе.
• Админка — отдельная роль и двухфакторный вход.
• Лимиты запусков и защита от повторного нажатия.

Чего это не гарантирует

Шифрование снижает ущерб от кражи базы или резервной копии, но не спасает, если злоумышленник получил доступ к работающему серверу: в этом случае ему доступно всё, что доступно приложению. В таком случае мы отзываем токены, меняем ключи и уведомляем пользователей.

Что делать, если доступ утёк

Отзовите доступ приложения на странице «Данные и доступы» в своём Яндекс ID. Это немедленно прекращает доступ по украденному токену.