🏠 Casă
Construiește speranță
Ajută fiecare familie să aibă un loc pe care să-l numească acasă — finanțat prin OseloHelp.com, organizația noastră nonprofit scutită de taxe.
Securitatea și datele tale
Cum ține TimTim.Live în siguranță partenerii, cumpărătorii și datele lor. Tot ce scrie pe această pagină este cum funcționează azi.
Chei și conectare
- Îți arătăm o cheie secretă o singură dată. Păstrăm doar o copie amestecată (un hash SHA-256), așa că nici măcar noi nu o putem citi.
- Cheile de test și cheile live sunt separate. Cheile de test văd doar evenimente de probă și nu ating niciodată bani reali.
- O cheie pentru site funcționează doar pe site-urile pe care le treci pentru ea.
- Te conectezi cu un link de unică folosință trimis pe e-mailul tău. Nu există nicio parolă de partener care să poată fi furată.
- Fiecare persoană din echipa ta are propriul cont și doar accesul de care are nevoie pentru munca ei.
Lacăte în plus pentru partenerii mari
- OAuth 2.0: schimbă ID-ul de client și secretul tău pe un token care ține o oră.
- Lacăte pe adresa serverului: o cheie funcționează doar de pe serverele pe care le treci.
- Lacăte pe certificat (mTLS) pe api.timtim.live: o cheie funcționează doar cu propriul tău certificat TLS.
Datele pe drum
- Fiecare adresă TimTim.Live folosește HTTPS. Browserelor li se spune să nu folosească niciodată HTTP simplu cu noi.
Mesajele pe care ți le trimitem
- Fiecare webhook este semnat cu HMAC-SHA256 și cu ora la care a fost trimis. Refuză orice e mai vechi de cinci minute.
- Secretele webhookurilor tale sunt păstrate criptat (AES-256-GCM).
- Nu trimitem niciodată mesaje către adrese de rețea private sau interne și nu urmăm niciodată redirecționări.
Cumpărători și plăți
- Nu le dăm niciodată partenerilor numele, e-mailul, adresa, numărul de telefon sau datele cardului unui cumpărător.
- Plățile cu cardul se fac pe pagina de plată securizată a Stripe. Numerele de card nu ajung niciodată pe serverele TimTim.Live.
- Linkurile de cumpărare sunt semnate, așa că nimeni nu poate falsifica un link ca să-ți ia meritul pentru vânzare.
Unde stau datele
- Serverele noastre sunt în Statele Unite, în Ashburn, Virginia (Oracle Cloud).
- Aceste servicii lucrează cu date pentru noi: Stripe (plăți), Cloudflare (protecția rețelei), Oracle Cloud (servere) și Resend (e-mail).
Cât timp păstrăm lucrurile
- Istoricul livrărilor de webhookuri: 30 de zile.
- Tokenurile OAuth încheiate: o zi, apoi sunt șterse.
- Verificările de stare: 90 de zile.
- Folosirea API-ului se numără pe zi. Nu păstrăm niciodată cheile tale sau ce trimiți în aceste numărători.
Urmărim problemele
- Verificăm fiecare parte publică în fiecare minut, de pe internet. Poți vedea rezultatele pe pagina noastră de stare.
- Echipa noastră primește o alertă dacă site-ul nu mai răspunde.
- Aprobarea partenerilor și trimiterea banilor cer un angajat anume, numit, care are această permisiune. Nu există o parolă comună pentru ele.
Ce nu avem încă
- Nu avem încă un raport SOC 2 sau un certificat ISO 27001.
- Nicio firmă din afară nu ne-a testat încă securitatea (un test de penetrare).
- Nu avem un program plătit de recompense pentru buguri (bug bounty).
- Vom actualiza această pagină când se schimbă ceva din toate acestea.
Dacă ceva nu merge bine
- Dacă o cheie s-ar putea să fi scăpat, oprește-o din panoul tău. Nu mai funcționează imediat. Apoi fă una nouă.
- Ai găsit o problemă de securitate? Scrie la [email protected]. Un om adevărat citește fiecare raport.
- Te rugăm să nu testezi pe datele altor oameni și să ne dai timp să reparăm o problemă înainte s-o spui altora.
