Găzduit în UE
Baza de date la Frankfurt
Postgres pe Supabase, în UE, accesat prin Cloudflare Hyperdrive.
Fișierele media în UE
Fișierele stau în Cloudflare R2, cu jurisdicție UE.
Servit de la margine
Paginile și răspunsurile API vin din Cloudflare Workers, aproape de fiecare vizitator.
Copii de siguranță administrate
Baza de date rulează pe Postgres-ul administrat de Supabase, cu copiile lui de siguranță.
Criptat pe drum
Fiecare conexiune folosește HTTPS, iar API-ul trimite antete de securitate stricte.
Ștergere care chiar șterge
Fișierele șterse dispar definitiv după 30 de zile, un răspuns șters la un formular își ia cu el copiile din webhook-uri, iar un client șters dispare din bază, din stocare și din cache după 30 de zile.
Două ziduri
între clienți
Fiecare tabel cu datele unui client poartă id-ul clientului. API-ul filtrează după el la fiecare interogare, iar securitatea la nivel de rând din Postgres verifică din nou, cu un rol care nu o poate ocoli.
Securitate la nivel de rând
Fără contextul unui client, baza de date nu arată nimic.
Un jurnal de audit în care doar se adaugă
Schimbările se scriu într-un jurnal pe care API-ul nu îl poate modifica sau șterge.
Schimbările agenției sunt marcate
Când echipa agenției schimbă ceva, jurnalul de audit o spune.
Accesul rămâne
unde îi e locul
Autentificare în doi pași
Aplicații de autentificare, cu coduri de rezervă. Obligatorie pentru echipa agenției, disponibilă pentru toți.
Resetări de parolă sigure
Când autentificarea în doi pași e pornită, resetarea parolei cere și al doilea factor.
Chei păstrate ca hash
Cheile API se păstrează ca HMAC și se arată o singură dată. O cheie revocată se oprește pe loc.
Permisiuni și domenii
Cheile secrete primesc doar permisiunile de care au nevoie; cele publicabile merg doar de pe domeniile tale.
Webhook-uri semnate
Fiecare livrare poartă o semnătură HMAC-SHA256 și ora trimiterii; mesajele vechi sunt refuzate.
Limite de frecvență
Autentificarea, colectarea analizei și formularele au limite de frecvență, ca să țină abuzurile departe.
Analiză care respectă
vizitatorii
Fără cookie-uri
t.js nu păstrează nimic în browser.
Fără adrese IP păstrate
Un vizitator e un hash din sarea zilei, IP și browser; sarea se șterge când se termină ziua.
Semnale respectate
Do Not Track și Global Privacy Control opresc colectarea.
Datele tale, singur
Oricine își descarcă datele ca JSON și CSV sau își închide contul din Cont și confidențialitate.
Cererile vizitatorilor, rezolvate
Proprietarii găsesc, exportă și șterg după adresa de email răspunsurile unui vizitator, pe toate site-urile.
Fotografii fără locație
Locația GPS, aparatul și data (EXIF, XMP, IPTC) se scot din imagini la încărcare.
AI doar când vrei tu
Funcțiile AI rămân oprite până le pornește un proprietar. Până atunci, nimic nu pleacă din Manifolio.
Cui îi scrii
Date personale: privacy@manifolio.com. Autorități (art. 11 DSA): authorities@manifolio.com. Orice altceva: hello@manifolio.com.
Ai găsit o vulnerabilitate?
Spune-ne nouă întâi
Scrie-ne la security@manifolio.com, cu pașii prin care se reproduce și impactul pe care îl vezi. Confirmăm primirea și te ținem la curent până la reparare.
Ce acoperă
app.manifolio.com, api.manifolio.com, manifolio.com, scripturile t.js și bridge.js și @manifolio/sdk.
Ce nu acoperă
Site-urile clienților noștri, serviciile furnizorilor noștri, ingineria socială, atacurile fizice și rapoartele de scanare fără un impact demonstrat.
Testează în siguranță
Folosește conturile și datele tale de probă. Nu accesa, nu modifica și nu șterge datele altora și oprește-te imediat ce ajungi la ele. Fără atacuri de tip denial of service sau teste de încărcare.
Protecție pentru cercetători
Cercetarea făcută cu bună-credință, după aceste reguli, e binevenită: nu inițiem acțiuni în justiție și nu depunem plângeri împotriva ta pentru ea.
Publicare după 90 de zile
Lasă-ne 90 de zile de la raportare înainte să publici detalii, sau mai puțin după ce reparația e live. Stabilim data împreună.
Recunoaștere
Cu acordul tău, te menționăm în noutățile care anunță reparația.
Raportează o vulnerabilitate
security@manifolio.com ajunge direct la cei care o repară. Te rugăm să nu incluzi în raport datele personale ale altor persoane.