Безпека

На цій сторінці описано заходи безпеки, які справді діють в APROS сьогодні, заходи, яких ми поки не пропонуємо, і те, як повідомити про вразливість. APROS створює та обслуговує ТОВ «АПРИКОД» (APRICODE LLC, «Apricode», «ми»).

Жодна система не є повністю захищеною, і ми не можемо гарантувати, що до даних ніколи не буде отримано несанкціонованого доступу. Ми можемо точно розповісти, що робимо.

Як розділено APROS

Власний робочий простір. Кожна компанія-клієнт отримує власний робочий простір за адресою <company>.apros.app з власним екземпляром застосунку та власною базою даних. Усередині бази даних кожен запис додатково прив’язаний до свого робочого простору — як друга лінія захисту.
Спільні сервіси, розділені ключами. Деякими сервісами користуються всі робочі простори: інтеграційним сервісом, шлюзом ШІ, кешем і чергою завдань, файловим сховищем, відеодзвінками, редактором документів і сервером обміну повідомленнями в реальному часі. Кожен робочий простір користується ними з власними обліковими даними, сховищем (bucket), префіксом ключів, бюджетом ШІ чи токеном доступу, що мають обмежувати його лише власними даними.
Хостинг. Наші сервери орендовано в Hetzner Online GmbH у Німеччині. DNS надає Cloudflare. На сторінці Суброзпорядники перелічено всі компанії, які можуть отримувати персональні дані.

Шифрування

Під час передавання. Браузери й застосунки підключаються до APROS через HTTPS. Робочі простори надсилають Strict-Transport-Security, тож браузери відмовляються від незашифрованих з’єднань. Аудіо та відео у відеодзвінках шифруються між кожним учасником і нашим медіасервером (стандартне шифрування WebRTC). Наскрізного шифрування вони не мають.
Секрети. Більшість облікових даних, які APROS зберігає для вас, шифрується в застосунку за алгоритмом AES-256-GCM з окремим ключем для кожного секрету, який своєю чергою зашифровано головним ключем, що ми можемо змінювати. Це стосується токенів каналів і ботів, токенів доступу Meta та WhatsApp, токенів Google та інших токенів OAuth, паролів поштових скриньок, облікових даних для платіжних і банківських підключень, ключів постачальників ШІ, токенів MCP і Git, а також налаштувань телефонії. Кілька елементів поки не шифруються: секрети для вебхуків сповіщень, коди для прив’язування облікових записів Telegram, ідентифікатор клієнта та номер рахунку підключення до ПриватБанку, а також деякі токени, збережені старішими версіями APROS.
Інші дані. Записи, повідомлення, електронні листи та файли не шифруються на рівні застосунку. Їх захищають засоби контролю доступу, описані нижче.

Облікові записи та сеанси

Користувачі входять за адресою електронної пошти та паролем. Паролі зберігаються лише як хеші bcrypt (12 раундів).
Кожен пароль має містити щонайменше 8 символів, великі й малі літери та цифру. За замовчуванням робочий простір також вимагає щонайменше 12 символів і спеціальний символ; адміністратор може вимкнути це суворіше правило.
Кількість невдалих спроб входу з однієї IP-адреси обмежено (5 спроб за 15 хвилин).
Токен входу діє 30 хвилин і поновлюється за допомогою токена оновлення, який змінюється після кожного використання. Якщо старий токен оновлення використовують повторно, сеанс вважається скомпрометованим.
Сеанс у браузері триває до 7 днів або менше, якщо його раніше завершує тайм-аут неактивності робочого простору (8 годин за замовчуванням, встановлює адміністратор). Настільний чи мобільний пристрій, зареєстрований робочим простором, може залишатися в системі до 90 днів.
Користувачі бачать свої активні сеанси й можуть завершити будь-який із них. Завершення сеансу діє негайно.
Коли адміністратор деактивує користувача, сеанси цього користувача завершуються, і він більше не може увійти.

Хто що бачить

Ролі та дозволи. Доступ надається для кожної дії та кожного типу записів (наприклад, переглядати, створювати, редагувати чи видаляти ліди) з певною сферою: власні записи, команда керівника, відділ або вся компанія. Можна також обмежити доступ до окремих полів.
Модулі. Запити також перевіряються щодо модулів, увімкнених для робочого простору.
ШІ-агенти проходять ті самі перевірки. Кожна дія, яку ШІ-агент виконує за допомогою своїх інструментів, проходить ті самі перевірки робочого простору, дозволів, сфери доступу до записів і модулів, що й дія людини.
Ключі API зберігаються лише як хеші SHA-256, не мають жодних дозволів, доки їх не надано, можуть мати строк дії та обмежені 600 запитами на хвилину кожен.
Файли зберігаються в приватному сховищі. Посилання для завантаження підписані й діють одну годину. Користувачі також можуть створювати публічні посилання для спільного доступу, які діють, доки їх не відкликано або до дати завершення строку дії, встановленої користувачем.

Захист у роботі з ШІ

Кожен ШІ-агент APROS має рівень автономності. На рівні асистента будь-яка зміна потребує схвалення людини. На напівавтономному рівні агент може вносити внутрішні зміни, а зовнішні дії, видалення та інші чутливі кроки потребують схвалення. На автономному рівні схвалення потребують лише видалення; інші дії, зокрема надсилання електронних листів, виконуються без нього.
ШІ-агент, підключений до каналу обміну повідомленнями, у своєму режимі за замовчуванням відповідає клієнтам автоматично. Робочий простір вирішує, чи підключати такого агента і в якому режимі.
Текст, що надходить від клієнтів, з електронних листів і вебсторінок, позначається в запитах до ШІ як ненадійний, щоб зменшити ризик ін’єкції промптів (prompt injection).
Зміни, внесені ШІ-агентами APROS, записуються разом із запуском агента, який їх виконав.
ШІ-клієнти, які ви підключаєте до APROS через MCP (наприклад, ChatGPT, Claude чи Cursor), не є агентами APROS. Вони діють із наданими вами дозволами, які можуть включати видалення даних, без схвалень APROS.

Журнали та моніторинг

Журнал аудиту. APROS записує створення, зміни та видалення записів CRM, зміни ролей і дозволів, ключі API, підключені облікові записи, перегляди збережених секретів, експорти, об’єднання та схвалення дій ШІ із зазначенням користувача чи агента, часу, IP-адреси та браузера. Адміністратори можуть переглядати його в Налаштуваннях. Входи в систему фіксуються в списку сеансів, а не в журналі аудиту.
Журнали застосунку. Наші журнали автоматично вилучають значення, назви яких вказують на секрет, наприклад токени, паролі та ключі API. Водночас вони можуть містити ідентифікатори, імена, адреси електронної пошти та IP-адреси.
Вебхуки. Вебхуки від Meta перевіряються за підписом Meta, перш ніж їх буде прийнято, а потім передаються до потрібного робочого простору з нашим власним підписаним ваучером або, для робочих просторів, ще не переведених на ваучери, зі спільним секретом. Вебхуки Telegram перевіряються за секретом.

Захист у браузері

На кожній сторінці робочі простори надсилають заголовки безпеки, зокрема Strict-Transport-Security, X-Content-Type-Options: nosniff, Referrer-Policy, Permissions-Policy та політику безпеки вмісту (Content Security Policy). За межами Telegram Mini App сторінки не можна вбудовувати в інші сайти.

Наша команда

Доступ до нашої інфраструктури мають лише ті працівники Apricode, яким він потрібен для роботи. Вони використовують його, щоб забезпечувати роботу сервісу, усувати збої, відповідати на запити до служби підтримки та виконувати запити на видалення.

Чого ми поки не пропонуємо

Щоб ви могли це врахувати:

APROS поки не пропонує двофакторної автентифікації чи єдиного входу (SSO).
APROS не має сторонньої сертифікації безпеки (наприклад, ISO 27001 чи SOC 2) і опублікованого стороннього аудиту.
Ми не проводимо платної програми винагород за знайдені вразливості (bug bounty).

Що робите ви

Надавайте людям лише ті ролі, які їм потрібні, і переглядайте їх, коли хтось змінює посаду чи звільняється.
Використовуйте надійні унікальні паролі й завершуйте сеанси, яких ви не впізнаєте.
Ретельно обирайте рівні ШІ-агентів, особливо для агентів, які надсилають повідомлення чи електронні листи.
Зберігайте ключі API в таємниці й надавайте кожному ключу лише ті дозволи, які йому потрібні.

Як повідомити про вразливість

Якщо ви вважаєте, що знайшли вразливість у безпеці APROS, будь ласка, повідомте нам. Ми приймаємо повідомлення від будь-кого.

Як повідомити

Напишіть на hello@apri-code.com з темою «Security report». Будь ласка, вкажіть:

що це за вразливість і де вона (адреса, сторінка чи кінцева точка API);
кроки для її відтворення та доказ концепції (proof of concept), якщо він у вас є;
що зловмисник міг би з нею зробити;
як ми можемо зв’язатися з вами з додатковими запитаннями.

Не додавайте до повідомлення персональних даних інших людей. Якщо ви на них натрапили, повідомте нам, які це були дані, і видаліть свою копію.

Про що ми вас просимо

Тестуйте лише власний обліковий запис чи робочий простір. Якщо у вас його немає, спершу напишіть нам, і ми обговоримо тестовий робочий простір.
Не отримуйте доступу до чужих даних, не змінюйте й не видаляйте їх і зупиняйтеся, щойно продемонструєте проблему.
Не порушуйте роботу сервісу: жодних атак на відмову в обслуговуванні чи навантажувального тестування, жодного спаму і жодної соціальної інженерії щодо наших працівників чи клієнтів.
Не тестуйте сторонні сервіси, такі як Meta, Google, Cloudflare чи Hetzner. Повідомляйте про проблеми в них самим цим компаніям.
Дайте нам розумний час на виправлення проблеми, перш ніж розголошувати її публічно, і погодьте з нами дату.

Що зробимо ми

Ми намагаємося підтвердити отримання вашого повідомлення протягом 5 робочих днів.
Ми інформуватимемо вас, поки досліджуємо й виправляємо проблему.
З вашого дозволу ми згадаємо вас, коли оголошуватимемо про виправлення.

Гарантія для добросовісних дослідників

Якщо ви дієте добросовісно і дотримуєтеся наведених вище правил, ми не вживатимемо щодо вас юридичних заходів і не повідомлятимемо про вас правоохоронним органам через ваше дослідження. Ми не можемо дозволяти тестування систем, які належать іншим.

Машиночитна версія цих контактів розміщена за адресою /.well-known/security.txt.

Мовні версії

Цей документ опубліковано українською та англійською мовами, обидві версії мають однаковий зміст. У разі розбіжностей між ними переважну силу має українська версія. Це не обмежує прав, які ви маєте згідно із законодавством, що до вас застосовується.