Kami memperlakukan keamanan sebagai persyaratan rilis, bukan daftar periksa. Halaman ini mendokumentasikan kontrol yang berlaku saat ini dan cara menghubungi kami jika ada sesuatu yang tampak tidak benar.
Data saat transit
- TLS 1.2+ diberlakukan di edge untuk
api.kunavo.comdankunavo.com. - HSTS diaktifkan dengan max-age 12 bulan.
- Callback OAuth dibatasi pada URI pengalihan yang telah diverifikasi; token magic-link hanya dapat digunakan sekali dan berumur pendek.
Data saat tersimpan
- Data akun, penagihan, dan penggunaan disimpan di Fly Postgres dalam satu region utama, dengan snapshot volume terenkripsi setiap hari.
- Kunci API disimpan sebagai hash satu arah; teks biasa hanya ditampilkan saat pembuatan.
- Unggahan pengguna disajikan dari bucket khusus netral (
files.kunavo.com) menggunakan kredensial yang hanya dibatasi untuk bucket tersebut.
Kontrol akses
- Prinsip hak akses paling rendah: akses produksi dibatasi pada daftar kecil engineer yang berwenang.
- Autentikasi dua faktor diwajibkan pada setiap penyedia infrastruktur.
- Log audit disimpan untuk tindakan administratif yang dilakukan di konsol admin.
Keandalan
- Failover aktif multi-vendor untuk model upstream — lihat beranda dan Ketentuan untuk batasannya.
- Halaman status di kunavo.com/status.
- Pemantauan TTFB dan tingkat pemutusan untuk setiap dispatcher; insiden yang terlihat oleh pengguna dibahas dalam post-mortem di /changelog.
Pengungkapan yang bertanggung jawab
Jika Anda yakin telah menemukan kerentanan keamanan, silakan kirim email ke security@kunavo.com dengan langkah-langkah untuk mereproduksinya. Kami mengonfirmasi penerimaan laporan dalam 48 jam dan tidak menuntut peneliti yang bertindak dengan itikad baik.