🏠 בית
לבנות תקווה
עזרו לכל משפחה למצוא מקום לקרוא לו בית — במימון OseloHelp.com, התאגיד ללא מטרות רווח שלנו הפטור ממס.
אבטחה והמידע שלכם
איך TimTim.Live שומר על שותפים, על קונים ועל המידע שלהם. כל מה שבעמוד הזה הוא איך שזה עובד היום.
מפתחות והתחברות
- אנחנו מציגים מפתח סודי פעם אחת בלבד. אנחנו שומרים רק עותק מעורבל (גיבוב SHA-256), כך שאפילו אנחנו לא יכולים לקרוא אותו.
- מפתחות ניסיון ומפתחות אמיתיים נפרדים. מפתחות ניסיון רואים רק אירועי דוגמה ואף פעם לא נוגעים בכסף אמיתי.
- מפתח אתר עובד רק באתרים שאתם רושמים ברשימה שלו.
- מתחברים עם קישור חד-פעמי שנשלח לאימייל שלכם. אין סיסמת שותף שאפשר לגנוב.
- לכל אדם בצוות שלכם יש התחברות משלו, ורק הגישה שהעבודה שלו צריכה.
מנעולים נוספים לשותפים גדולים
- OAuth 2.0: החליפו את מזהה הלקוח והסוד שלכם באסימון שתקף לשעה אחת.
- מנעול כתובת שרת: מפתח עובד רק מהשרתים שאתם רושמים ברשימה.
- מנעול תעודה (mTLS) ב-api.timtim.live: מפתח עובד רק עם תעודת ה-TLS שלכם.
מידע בדרך
- כל כתובת של TimTim.Live משתמשת ב-HTTPS. דפדפנים מקבלים הוראה לעולם לא להשתמש איתנו ב-HTTP רגיל.
הודעות שאנחנו שולחים לכם
- כל webhook חתום ב-HMAC-SHA256 יחד עם השעה שבה נשלח. דחו כל דבר שישן יותר מחמש דקות.
- סודות ה-webhook שלכם נשמרים מוצפנים (AES-256-GCM).
- אנחנו אף פעם לא שולחים הודעות לכתובות רשת פרטיות או פנימיות, ואף פעם לא עוקבים אחרי הפניות.
קונים ותשלומים
- אנחנו אף פעם לא נותנים לשותפים שם, אימייל, כתובת, מספר טלפון או פרטי כרטיס של קונה.
- תשלומים בכרטיס קורים בעמוד התשלום המאובטח של Stripe עצמה. מספרי כרטיסים אף פעם לא מגיעים לשרתים של TimTim.Live.
- קישורי קנייה חתומים, כך שאף אחד לא יכול לזייף קישור כדי לקחת את הקרדיט שלכם.
איפה המידע נמצא
- השרתים שלנו נמצאים בארצות הברית, ב-Ashburn, וירג'יניה (Oracle Cloud).
- השירותים האלה מטפלים במידע עבורנו: Stripe (תשלומים), Cloudflare (הגנה על הרשת), Oracle Cloud (שרתים) ו-Resend (אימייל).
כמה זמן אנחנו שומרים דברים
- היסטוריית מסירת webhook: 30 ימים.
- אסימוני OAuth שהסתיימו: יום אחד, ואז נמחקים.
- בדיקות סטטוס: 90 ימים.
- השימוש ב-API נספר לפי יום. בספירות האלה אנחנו אף פעם לא שומרים את המפתחות שלכם או את מה שאתם שולחים.
שומרים עין על בעיות
- אנחנו בודקים כל חלק ציבורי בכל דקה מהאינטרנט. אפשר לראות את התוצאות בעמוד הסטטוס שלנו.
- הצוות שלנו מקבל התראה אם האתר מפסיק לענות.
- אישור שותפים ושליחת כסף דורשים איש צוות מסוים בשמו שיש לו את ההרשאה הזאת. אין להם סיסמה משותפת.
מה שעוד אין לנו
- עוד אין לנו דוח SOC 2 או תעודת ISO 27001.
- אף חברה חיצונית עוד לא בדקה את האבטחה שלנו (מבדק חדירה).
- אין לנו תוכנית בתשלום לציד באגים (bug bounty).
- נעדכן את העמוד הזה כשמשהו מזה ישתנה.
אם משהו משתבש
- אם ייתכן שמפתח דלף, כבו אותו בלוח שלכם. הוא מפסיק לעבוד מיד. אחר כך צרו מפתח חדש.
- מצאתם בעיית אבטחה? כתבו אל [email protected]. אדם אמיתי קורא כל דיווח.
- בבקשה אל תבדקו על מידע של אנשים אחרים, ותנו לנו זמן לתקן בעיה לפני שאתם משתפים אותה.
