Безопасность
Как защищены сервисы
Что защищаем мы и что остаётся на вашей стороне.
Файлы: вход и ссылки
Включите для аккаунта двухфакторную аутентификацию: тогда украденного пароля для входа будет недостаточно. Ссылкам общего доступа задавайте пароль и срок действия, а ненужные удаляйте: ссылку без пароля откроет любой, у кого она есть.
Файлы: зашифрованные библиотеки
При создании библиотеку можно сделать зашифрованной. Пароль библиотеки на сервере не хранится, поэтому берегите его: восстановить его мы не сможем, а без него файлы не прочитать. Для самого строгого варианта открывайте зашифрованные библиотеки только через клиент на компьютере: веб-интерфейсу пароль нужен на сервере, пока вы работаете. Шифрование необязательно и действует только для тех библиотек, которые вы создали зашифрованными.
S3: ключи доступа
Ключ выдаётся на конкретные бакеты и показывается один раз, при создании. Заводите отдельный ключ на каждое приложение или сервер: если один утечёт, его можно отозвать, не трогая остальные.
S3: шифрование
Объекты шифруются на сервере перед записью на диск. Бэкапы всё равно советуем шифровать на клиенте: restic делает это по умолчанию, у rclone есть режим crypt. Тогда прочитать данные не сможет никто, кроме вас, — и мы тоже.
Защита от удаления
В файловом хранилище сохраняются прежние версии файлов, а удалённые файлы попадают в корзину. В S3 версионирование сохраняет прежние версии объекта, а object lock не даёт удалить версию до конца срока хранения; обе функции выключены, пока вы не включите их для бакета. Вторую копию всё это не заменяет: важное держите ещё в одном месте.
На нашей стороне
Сайт, файловое хранилище, панель управления и S3-эндпоинт работают только по TLS. Мы не заглядываем в содержимое файлов и объектов, если этого не требует работа сервиса или закон, и используем его только для хранения и выдачи по вашим запросам. Доступ сотрудников ограничен тем, что нужно для эксплуатации. В журналы запросов попадают время, адрес источника и операция, но не содержимое.
Сообщить об уязвимости
Напишите на адрес ниже и опишите, как воспроизвести проблему. Мы подтвердим, что получили сообщение, и расскажем, что выяснили. Во время проверки, пожалуйста, не обращайтесь к данным других клиентов и не нарушайте работу сервиса. Тот же контакт указан в security.txt.