Bezpieczeństwo

OpenLeadGraph to prywatna platforma multi-tenant dla agencji pracy. Każdy klient pracuje w izolowanej przestrzeni hostowanej na infrastrukturze serwerowej DK Engineering Lab, z Cloudflare jako warstwą ochrony brzegowej. Bezpieczeństwo jest wbudowane w architekturę, a nie dodane po fakcie.

Wszystkie serwery aplikacji, bazy danych i kopie zapasowe działają na infrastrukturze DK Engineering Lab (https://www.dkenglab.com). Platforma nie jest rozproszona po usługach trzecich: aplikacja, dane i kopie zapasowe pozostają w jednym kontrolowanym obszarze z indywidualnie przypisanym dostępem administracyjnym.

• Wzmacniane, regularnie aktualizowane obrazy serwerów z minimalną powierzchnią ataku.
• Dostęp inżynierów na zasadzie minimalnych uprawnień, objęty umowami o poufności.
• Brak bezpośredniego publicznego dostępu do baz danych — tylko przez warstwę aplikacji.

Cały ruch do platformy przechodzi przez Cloudflare, zanim dotrze do naszych serwerów:

• Ochrona przed DDoS na brzegu sieci — ataki wolumetryczne pochłania globalna sieć Cloudflare przed dotarciem do źródła.
• Web Application Firewall (WAF) filtrujący złośliwe żądania, próby iniekcji i znane wzorce exploitów.
• Terminacja TLS z nowoczesnymi szyframi; połączenia między Cloudflare a źródłem również są szyfrowane.
• Zarządzanie botami i rate limiting chroniące punkty logowania przed credential stuffing i brute force.
• Ochrona DNS i routing wysokiej dostępności przez sieć anycast Cloudflare.

Każdy klient otrzymuje logicznie izolowaną przestrzeń roboczą. Izolacja jest egzekwowana na poziomie aplikacji i danych: każde zapytanie, wpis w pamięci podręcznej, ścieżka pliku i zadanie w tle są przypisane do właściciela. Dostęp między tenantami jest architektonicznie niemożliwy, a role dostępu konfigurowane są w każdej przestrzeni — właściciele, rekruterzy, sprzedaż i read-only widzą dokładnie to, na co pozwala ich rola.

• W tranzycie: TLS dla każdego połączenia — przeglądarka–Cloudflare, Cloudflare–źródło oraz komunikacja wewnętrzna.
• W spoczynku: dane i kopie zapasowe są szyfrowane na infrastrukturze DK Engineering Lab.
• Poświadczenia: hasła hashowane nowoczesnymi algorytmami jednokierunkowymi; tokeny sesji są krótkotrwałe i odwoływalne.

• Codzienne szyfrowane kopie zapasowe wszystkich danych przestrzeni roboczych.
• Udokumentowane procedury odtwarzania, okresowo testowane.
• Po zakończeniu subskrypcji dane są usuwane po 30-dniowym oknie eksportu; kopie w backupach wygasają w normalnym cyklu rotacji.

• Monitoring i alerty 24/7 na serwerach DK Engineering Lab, uzupełnione analityką Cloudflare na brzegu.
• Logowanie dostępu i audyt działań administracyjnych w przestrzeniach roboczych.
• Zdefiniowany proces reagowania: ograniczenie, analiza, powiadomienie klientów bez zbędnej zwłoki (zgodnie z 72-godzinnym oknem GDPR) i przegląd po incydencie.

• Kontrola dostępu oparta na rolach w każdej przestrzeni; wrażliwe działania wymagają podwyższonych ról.
• Nagłówki bezpieczeństwa we wszystkich odpowiedziach (HSTS, ochrona content-type, ochrona przed ramkami, polityka referrer).
• Walidacja danych wejściowych i sanityzacja wyjścia na wszystkich trasach API; ustrukturyzowane logowanie serwerowe z redakcją danych wrażliwych.
• Aktualizacje testowane przed wdrożeniem produkcyjnym; poprawki bezpieczeństwa stosowane według priorytetowego harmonogramu.

Funkcje AI (scoring dopasowania, CV tailoring, wbudowany asystent) przetwarzają tylko pola niezbędne do zadania, w obrębie własnej przestrzeni klienta. Dane klienta nie są używane do trenowania modeli na rzecz innych klientów, a prompty ograniczone są do minimalnie niezbędnych pól.

Celujemy w 99,9% miesięcznej dostępności platformy produkcyjnej. Sieć anycast Cloudflare zapewnia odporny globalny routing na brzegu; dostępność źródła, kopie zapasowe i procedury failover zarządzane są na infrastrukturze DK Engineering Lab. Planowane prace są ogłaszane z wyprzedzeniem.

Jeśli uważasz, że znalazłeś lukę — zgłoś ją prywatnie na hello@openleadgraph.com: badamy wszystkie zgłoszenia i odpowiadamy w ciągu jednego dnia roboczego. Prosimy nie testować na danych innych klientów i nie zakłócać działania usługi.