Securitate, pe șleau
Fără cuvinte de marketing. Iată ce facem — și ce nu pretindem — pentru a-ți păstra site-urile, clienții și veniturile în siguranță.
Criptare în tranzit
Fiecare conexiune folosește TLS 1.3. HSTS preîncărcat. Refuzăm TLS 1.0 / 1.1 și cipher suites slabe. Fără excepții pentru clienți vechi.
Criptare în repaus
Volumele bazei de date și bucket-urile S3 sunt criptate AES-256. Backup-urile sunt criptate înainte de a părăsi rețeaua de producție.
Autentificare în 2 factori
2FA bazat pe TOTP este inclus în fiecare plan, cu fallback opțional pe email-OTP. 8 coduri de recuperare unice per utilizator. Obligatoriu pentru admini.
Hosting doar în UE
Regiune principală: Frankfurt. Secundară: Stockholm. Datele nu tranzitează niciodată jurisdicții non-SEE fără o Clauză Contractuală Standard documentată.
Izolare per tenant
Fiecare site de client rulează în propriul scope DB. Plugin-urile rulează într-un sandbox cu profil disable_functions + open_basedir — un tenant nu poate afecta altul.
Rate limiting + audit log
Rate limit per IP pe fiecare formular public. Fiecare acțiune de admin este înregistrată în log-ul de activitate cu subiect, autor, IP și diff complet al câmpurilor modificate.
Practici pe care le respectăm
Pen-test extern anual
Firmă independentă din UE. Constatările critice sunt remediate înainte ca raportul să fie semnat.
SAST în CI
Fiecare PR rulează analiză statică (Psalm + Larastan). PR-urile nu pot fi merged cu severitate de securitate > medium.
Monitorizare dependențe
Dependențele Composer + npm sunt scanate zilnic. CVE-urile critice declanșează un patch în aceeași zi.
Gestionarea secretelor
Niciun secret în repo. Secretele de producție trăiesc în HashiCorp Vault cu rotație trimestrială.
Backup-uri + simulări restore
Snapshot-uri criptate zilnic, păstrate 30 de zile. Rulăm o simulare completă de restore o dată pe trimestru.
Răspuns la incidente
Runbook documentat. Incidentele de severitate 1 primesc un post-mortem public în 14 zile pe /blog.
Webhook-uri semnate
Webhook-urile outbound sunt semnate cu HMAC-SHA256. Clienții verifică per cerere pentru a preveni falsificarea.
Hashing parole
bcrypt cu cost 12 (configurabil). Nicio parolă nu părăsește granița cererii fără hash.
Dezvăluire responsabilă
Ai găsit o vulnerabilitate? Trimite email la security@radcms.io cu pașii de reproducere. Criptează cu cheia noastră PGP pentru descoperiri sensibile.
Angajamentul nostru
- Confirmăm raportul tău în 48 de ore.
- Decizie de triaj în 5 zile lucrătoare (în scop / în afara scopului / duplicat).
- Te ținem la curent până când problema este rezolvată.
- Te creditează public (dacă vrei) când fix-ul este livrat.
- Plătim un bounty pentru descoperiri critice/severe valide (caz cu caz, momentan până la €5.000).
Te rugăm să nu testezi pe datele clienților, să nu rulezi scanere automate care generează volum și să ne acorzi timp rezonabil pentru remediere înainte de dezvăluirea publică.
Audit în desfășurare · țintă 2026
Disponibil pentru planurile Enterprise