🏠 Casa
Costruire speranza
Aiuta ogni famiglia ad avere una casa — finanziato tramite OseloHelp.com, la nostra organizzazione senza scopo di lucro esente da tasse.
La sicurezza e i tuoi dati
Come TimTim.Live protegge i partner, chi compra e i loro dati. Tutto quello che c'è su questa pagina è come funziona oggi.
Chiavi e accesso
- Ti mostriamo una chiave segreta una sola volta. Teniamo solo una copia rimescolata (un hash SHA-256), quindi nemmeno noi possiamo leggerla.
- Le chiavi di prova e le chiavi live sono separate. Le chiavi di prova vedono solo eventi di esempio e non toccano mai soldi veri.
- Una chiave per sito web funziona solo sui siti web che metti nella sua lista.
- Accedi con un link valido una sola volta, inviato alla tua email. Non c'è nessuna password partner da rubare.
- Ogni persona del tuo team ha il proprio accesso e solo i permessi che servono al suo lavoro.
Lucchetti in più per i grandi partner
- OAuth 2.0: scambia il tuo ID client e il segreto con un token che dura un'ora.
- Lucchetto sull'indirizzo del server: una chiave funziona solo dai server che metti nella lista.
- Lucchetto sul certificato (mTLS) su api.timtim.live: una chiave funziona solo con il tuo certificato TLS.
I dati in viaggio
- Ogni indirizzo di TimTim.Live usa HTTPS. Ai browser diciamo di non usare mai il semplice HTTP con noi.
I messaggi che ti inviamo
- Ogni webhook è firmato con HMAC-SHA256 e con l'ora in cui è stato inviato. Rifiuta tutto quello che ha più di cinque minuti.
- I segreti dei tuoi webhook sono salvati cifrati (AES-256-GCM).
- Non inviamo mai messaggi a indirizzi di rete privati o interni, e non seguiamo mai i reindirizzamenti.
Chi compra e pagamenti
- Non diamo mai ai partner il nome, l'email, l'indirizzo, il numero di telefono o i dati della carta di chi compra.
- I pagamenti con carta avvengono sulla pagina di pagamento sicura di Stripe stessa. I numeri delle carte non arrivano mai ai server di TimTim.Live.
- I link di acquisto sono firmati, così nessuno può falsificare un link per prendersi il tuo merito.
Dove stanno i dati
- I nostri server sono negli Stati Uniti, ad Ashburn, in Virginia (Oracle Cloud).
- Questi servizi gestiscono dati per noi: Stripe (pagamenti), Cloudflare (protezione della rete), Oracle Cloud (server) e Resend (email).
Per quanto tempo teniamo le cose
- Storico delle consegne dei webhook: 30 giorni.
- Token OAuth finiti: un giorno, poi cancellati.
- Controlli di stato: 90 giorni.
- L'uso dell'API viene contato per giorno. In questi conteggi non salviamo mai le tue chiavi né quello che invii.
Teniamo d'occhio i problemi
- Controlliamo ogni parte pubblica ogni minuto da internet. Puoi vedere i risultati sulla nostra pagina di stato.
- Il nostro team riceve un avviso se il sito smette di rispondere.
- Per approvare i partner e inviare soldi serve un membro dello staff con nome e con quel permesso. Non c'è una password condivisa per questo.
Cosa non abbiamo ancora
- Non abbiamo ancora un report SOC 2 né un certificato ISO 27001.
- Nessuna azienda esterna ha ancora testato la nostra sicurezza (un penetration test).
- Non abbiamo un programma di bug bounty a pagamento.
- Aggiorneremo questa pagina quando una di queste cose cambierà.
Se qualcosa va storto
- Se una chiave potrebbe essere finita in mani sbagliate, spegnila nella tua dashboard. Smette subito di funzionare. Poi creane una nuova.
- Hai trovato un problema di sicurezza? Scrivi a [email protected]. Una persona vera legge ogni segnalazione.
- Per favore non fare test sui dati di altre persone, e dacci il tempo di risolvere un problema prima di raccontarlo.
