RiskWatch API

Bezpieczeństwo i zaufanie

Klucze API są przechowywane jako hashe z pieprzem i weryfikowane w stałym czasie. Sekrety webhooków są szyfrowane AES-256-GCM i pokazywane dokładnie raz. Docelowe adresy webhooków są sprawdzane pod kątem ataków na sieci prywatne i DNS rebinding. Webhooki Stripe są weryfikowane względem surowego ciała żądania, zanim zmieni się jakikolwiek stan rozliczeń.

Uprzywilejowane poświadczenia serwera nigdy nie trafiają do przeglądarki; skan builda frontendu pod kątem sekretów jest stałym punktem checklisty przed każdym wydaniem.

Gdzie są przechowywane dane

  • Baza danych i uwierzytelnianie (Supabase): region AWS eu-central-1, Frankfurt, Niemcy.
  • API i zadania w tle (Railway): region europe-west4-drams3a, Amsterdam, Holandia. Tam działa też skaner KRZ.
  • Strona i panel (Netlify): statyczne pliki serwowane z globalnej sieci CDN; nie przechowują danych monitoringu.

Podprzetwarzający

  • Supabase: baza danych Postgres i logowanie użytkowników
  • Railway: hosting API, zadań w tle i skanera KRZ
  • Netlify: hosting statycznej strony i panelu
  • Stripe: płatności i subskrypcje
  • Google Analytics: statystyki odwiedzin stron; przed zapisaniem zdarzenia usuwane są wszystkie parametry zapytania na ścieżkach logowania i OAuth oraz parametry z tokenami na pozostałych (w tym token zaproszenia), a numer NIP w ścieżkach panelu (np. /app/entities/:nip) jest zastępowany znacznikiem

Zabezpieczenia

  • Klucze API: SHA-256 z pieprzem, porównanie w stałym czasie, pokazywane raz. Opcjonalnie: zakresy (read, write, webhooks), data wygaśnięcia i lista dozwolonych adresów IP (CIDR IPv4/IPv6).
  • Sekrety webhooków: szyfrowane AES-256-GCM, pokazywane raz; każda dostawa jest podpisana HMAC-SHA256.
  • Log audytowy: tworzenie i odwoływanie kluczy, zmiany webhooków, listy obserwowanych i rozliczeń; podgląd dla właściciela organizacji, z ukrytymi polami mogącymi zawierać sekrety.
  • Sandbox: klucze rw_test_ zwracają wyłącznie syntetyczne dane testowe i nie czytają ani nie zapisują danych organizacji.
  • Konektory AI (OAuth 2.1): PKCE S256, zakresy read / write / webhooks, tokeny przypisane do zasobu MCP (nie działają w REST API), odwołanie przez /oauth/revoke (RFC 7009) lub w panelu w sekcji Połączone aplikacje.

RiskWatch nie posiada własnego certyfikatu SOC 2 ani ISO 27001. Certyfikaty i raporty dostawców infrastruktury dotyczą ich usług, nie RiskWatch.