Bezpieczeństwo, wprost
Bez buzzwordów. Oto, co robimy — i czego nie obiecujemy — żeby Twoje site'y, klienci i przychody były bezpieczne.
Szyfrowanie w transporcie
Każde połączenie używa TLS 1.3. HSTS preloaded. Odrzucamy TLS 1.0 / 1.1 i słabe zestawy szyfrów. Żadnych wyjątków dla legacy clientów.
Szyfrowanie w spoczynku
Wolumeny bazy danych i buckety S3 są szyfrowane AES-256. Backupy szyfrujemy zanim opuszczą sieć produkcyjną.
Uwierzytelnianie dwuskładnikowe
2FA oparte na TOTP w każdym planie, z opcjonalnym fallbackiem email-OTP. 8 jednorazowych kodów odzyskiwania na użytkownika. Wymagane dla administratorów.
Hosting tylko w UE
Region główny: Frankfurt. Zapasowy: Sztokholm. Żadne dane nigdy nie przechodzą przez jurysdykcje spoza EOG bez udokumentowanej Standardowej Klauzuli Umownej.
Izolacja tenantów
Każdy site klienta działa we własnym zakresie DB. Wtyczki wykonują się w sandboxie z profilem disable_functions + open_basedir — jeden tenant nie może wpłynąć na inny.
Rate limiting + dziennik audytu
Per-IP rate limity na każdym publicznym formularzu. Każda akcja admina zapisuje się w dzienniku aktywności z podmiotem, aktorem, IP i pełnym diffem zmienionych pól.
Stosowane praktyki
Roczny zewnętrzny pen-test
Niezależna firma z UE. Krytyczne wykrycia są usuwane przed podpisaniem raportu.
SAST w CI
Każdy PR uruchamia statyczną analizę (Psalm + Larastan). PR-y nie mogą być scalone z security severity > medium.
Monitoring zależności
Zależności Composer + npm skanowane codziennie. Krytyczne CVE wymuszają patch release tego samego dnia.
Zarządzanie sekretami
Żadnych sekretów w repo. Sekrety produkcyjne żyją w HashiCorp Vault z kwartalną rotacją.
Backupy + próby przywracania
Codzienne zaszyfrowane snapshoty trzymane 30 dni. Pełną próbę przywracania robimy raz na kwartał.
Reakcja na incydenty
Udokumentowany runbook. Incydenty Severity 1 dostają publiczny post-mortem w ciągu 14 dni na /blog.
Podpisane webhooki
Webhooki wychodzące podpisane HMAC-SHA256. Klienci weryfikują per żądanie, aby zapobiec fałszerstwu.
Hashowanie haseł
bcrypt o koszcie 12 (konfigurowalne). Żadne hasło nie opuszcza granicy requestu bez haszowania.
Odpowiedzialne ujawnianie luk
Znalazłeś podatność? Napisz na security@radcms.io z krokami reprodukcji. Zaszyfruj naszym kluczem PGP dla wrażliwych zgłoszeń.
Nasze zobowiązanie
- Potwierdzenie zgłoszenia w ciągu 48 godzin.
- Decyzja triage w ciągu 5 dni roboczych (w zakresie / poza zakresem / duplikat).
- Bieżące informowanie do czasu rozwiązania problemu.
- Publiczne uznanie (jeśli chcesz), gdy poprawka trafi na produkcję.
- Nagrody za istotne krytyczne/wysokie zgłoszenia (indywidualnie, obecnie do €5 000).
Prosimy nie testować na danych klientów, nie uruchamiać automatycznych skanerów generujących duży ruch i dać nam rozsądny czas na naprawę przed publicznym ujawnieniem.
Audyt w toku · cel 2026
Dostępne dla planów Enterprise