Безопасность и ваши данные

Как TimTim.Live защищает партнёров, покупателей и их данные. Всё на этой странице — это то, как всё работает сегодня.

Ключи и вход

Секретный ключ мы показываем только один раз. Мы храним только перемешанную копию (хеш SHA-256), поэтому даже мы не можем его прочитать.
Тестовые и рабочие ключи разделены. Тестовые ключи видят только примеры событий и никогда не касаются настоящих денег.
Ключ для сайта работает только на тех сайтах, которые вы для него укажете.
Вы входите по одноразовой ссылке, которая приходит на вашу почту. Пароля партнёра нет, поэтому красть нечего.
У каждого человека в вашей команде свой вход и только тот доступ, который нужен для его работы.

OAuth 2.0: обменяйте ID клиента и секрет на токен, который действует один час.
Замки по адресу сервера: ключ работает только с тех серверов, которые вы укажете.
Замки по сертификату (mTLS) на api.timtim.live: ключ работает только с вашим собственным сертификатом TLS.

Каждый адрес TimTim.Live использует HTTPS. Браузерам сказано никогда не использовать с нами обычный HTTP.

Каждый webhook подписан с помощью HMAC-SHA256 и временем отправки. Отклоняйте всё, что старше пяти минут.
Секреты ваших webhooks хранятся в зашифрованном виде (AES-256-GCM).
Мы никогда не отправляем сообщения на частные или внутренние сетевые адреса и никогда не переходим по перенаправлениям.

Мы никогда не передаём партнёрам имя, почту, адрес, телефон или данные карты покупателя.
Оплата картой проходит на собственной защищённой странице оплаты Stripe. Номера карт никогда не попадают на серверы TimTim.Live.
Ссылки на покупку подписаны, поэтому никто не может подделать ссылку, чтобы забрать вашу заслугу за продажу.

Наши серверы находятся в США, в Ashburn, штат Виргиния (Oracle Cloud).
Эти сервисы обрабатывают данные для нас: Stripe (платежи), Cloudflare (защита сети), Oracle Cloud (серверы) и Resend (почта).

История доставки webhooks: 30 дней.
Завершённые токены OAuth: один день, потом удаляются.
Проверки статуса: 90 дней.
Использование API считается по дням. В этих подсчётах мы никогда не храним ваши ключи или то, что вы отправляете.

Каждую минуту мы проверяем из интернета каждую открытую часть. Результаты видны на нашей странице статуса.
Наша команда получает оповещение, если сайт перестаёт отвечать.
Чтобы одобрить партнёра или отправить деньги, нужен конкретный сотрудник, названный по имени, с таким правом. Общего пароля для этого нет.

У нас пока нет отчёта SOC 2 или сертификата ISO 27001.
Ни одна сторонняя компания пока не проверяла нашу защиту (тест на проникновение).
У нас нет платной программы bug bounty (вознаграждений за найденные ошибки).
Мы обновим эту страницу, когда что-то из этого изменится.

Если ключ мог утечь, отключите его в своём кабинете. Он сразу перестанет работать. Потом создайте новый.
Нашли проблему с безопасностью? Напишите на [email protected]. Каждое сообщение читает живой человек.
Пожалуйста, не проводите тесты на чужих данных и дайте нам время исправить проблему, прежде чем рассказывать о ней.