formexposed
Aloita

Tekniset ja organisatoriset toimenpiteet

Tämä asiakirja on julkaistu useilla kielillä. Jos kieliversioiden välillä on ristiriitaa, puolankielinen versio on sitova.

Versio 1.1 · Päivitetty viimeksi: 22. lokakuuta 2026

GDPR Art. 32 mukaiset toimenpiteet, joilla LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Puola, suojaa formexposed-palvelua. Tämä sivu on osa henkilötietojen käsittelysopimusta liitteenä 2.

1. Soveltamisala ja periaate

Toimenpiteet koskevat kaikkia palvelun käsittelemiä tietoja: tietoja, joita käsittelemme Asiakkaidemme lukuun (kuvattu henkilötietojen käsittelysopimuksessa), ja tietoja, joiden osalta olemme itse rekisterinpitäjä, kuten asiakastilit ja lokit. Näille ei ole erillisiä suojaustasoja; se, mikä suojaa tiliä, suojaa myös käsittelijänä käsittelemiämme tietoja.

Rakenne GDPR Art. 32(1):n mukaisesti. Pseudonymisointi ja salaus (a alakohta) käsitellään osiossa 4; järjestelmien jatkuva luottamuksellisuus, eheys, käytettävyys ja vikasietoisuus (b alakohta) osioissa 3, 5, 6 ja 7; kyky palauttaa käytettävyys oikea-aikaisesti poikkeaman jälkeen (c alakohta) osiossa 7.1; menettely tehokkuuden säännöllistä testausta, tutkimista ja arviointia varten (d alakohta) osiossa 9. Valitsimme toimenpiteet tietosuojaa koskevassa vaikutustenarvioinnissamme kuvattujen riskien perusteella ottaen huomioon uusimman tekniikan ja toteuttamiskustannukset.

Periaate: mitattua eikä aiottua. Tässä mainitaan vain se, mikä on tosiasiallisesti toteutettu koodissa tai käytössä. Suunniteltu mutta vielä toteuttamaton luetellaan nimenomaisesti ”suunniteltuna” osiossa 10. Toimenpide, jota tässä ei mainita, ei ole hiljaisesti käytössä.

Koneiden nimiä, sisäisiä osoitteita, portteja, käyttäjätunnuksia ja ohjelmistoversioita ei tarkoituksella mainita. Ne eivät auta ketään arvioimaan toimenpiteitä, mutta ne auttavat sitä, joka haluaa kiertää ne. Joka tarvitsee niitä henkilötietojen käsittelysopimuksen mukaiseen auditointiin, saa ne kyseisen auditoinnin yhteydessä luottamuksellisesti siltä osin kuin ne ovat auditoinnin kannalta tarpeen.

2. Palvelun rakenne

Palvelu toimii kahdella palveluntarjoajan omalla palvelimella Puolassa, jotka sijaitsevat samassa sisäverkossa:

  • Verkkopalvelin ja tietokanta. Se toimittaa sovelluksen, ylläpitää tietokantaa, lähettää ilmoitukset ja varmuuskopioi tiedot. Vain se on määritetty vastaanottamaan pyyntöjä internetistä.
  • Skannauspalvelin. Se suorittaa kolmansien osapuolten ja omien verkkosivustojen tarkistukset selaimessa ja ajaa kielimallia, joka luokittelee yksittäisiä lomakkeita ja lisää koodia toiminnossa ”Fix it for me”. Sitä ei ole määritetty vastaanottamaan pyyntöjä internetistä, vaan se hakee työnsä itse verkkopalvelimelta ja palauttaa tulokset sinne.

Toimintaan ei osallistu hosting-, konesali- tai pilvipalveluntarjoajaa, eikä mitään lähetetä ulkoiseen tekoälypalveluun. Mitkä kolmannet osapuolet saavat tietoja, esitetään sivulla Alikäsittelijät.

3. Luottamuksellisuus

3.1 Fyysinen kulunvalvonta

Palvelimet sijaitsevat palveluntarjoajan tiloissa Puolassa, jotka eivät ole avoimia yleisölle. Pääsy on vain omistajalla (ylläpitäjän ilmoituksen mukaan). Sijainnin tarkkaa osoitetta ei tarkoituksella mainita tässä.

3.2 Pääsynvalvonta: kirjautuminen palveluun

  • Salasanat tallennetaan vain tiivisteenä PHP:n vakiomenetelmällä (bcrypt). Jos vakiomenetelmä muuttuu, tiiviste uusitaan seuraavan kirjautumisen yhteydessä. Kun kirjautumista yritetään tuntemattomalla osoitteella, palvelin laskee silti tiivisteen, jotta vastausaika ei paljasta, onko tili olemassa. Samoin vastaus salasanan palautuspyyntöön ei paljasta sanamuodollaan eikä kestollaan, onko tili olemassa; palautussähköposteja lähetetään samaan osoitteeseen enintään kolme kertaa tunnissa. Uusien salasanojen on oltava vähintään kymmenen merkkiä pitkiä, eivätkä ne saa ylittää 72 tavua (UTF-8), koska bcrypt ei ota huomioon useampia tavuja. Salasanan vaihtaminen kirjaa ulos kaikki muut laitteet; sen palauttaminen linkin kautta kirjaa ulos kaikki laitteet, ja linkki on voimassa vain kerran.
  • Esto epäonnistuneiden yritysten jälkeen. Epäonnistuneet kirjautumiset lasketaan IP-osoitteittain; jos niitä on liian monta lyhyessä ajassa (tällä hetkellä kahdeksan 15 minuutissa), kirjautuminen kyseisestä osoitteesta estetään tilapäisesti. Onnistunut kirjautuminen nollaa tämän laskurin. Yritykset poistetaan seitsemän päivän kuluttua. Lisäksi ennen jokaista salasanan tarkistusta lasketaan yksi yritys tiliä kohden (tuntemattoman osoitteen kohdalla syötettyä osoitetta kohden) ja IP-osoitetta kohden, onnistuneet yritykset mukaan lukien: tällä hetkellä enintään kahdeksan tiliä kohden samasta IP-osoitteesta ja 80 IP-osoitetta kohden 15 minuutissa; tiliä kohden kaikista osoitteista yhteensä sovelletaan huomattavasti korkeampaa rajaa hajautettua arvailua vastaan. Toisesta osoitteesta tehdyt epäonnistuneet yritykset eivät siksi enää lukitse omistajaa ulos tililtä. Nämä laskurit sisältävät vain HMAC-avaimen, eivät sähköposti- tai IP-osoitetta selväkielisenä, ja ne vanhenevat aikaikkunansa mukana. Jos laskurien tallennustila ei ole käytettävissä, kirjautuminen evätään eikä päästetä läpi. Samanlaista rajaa sovelletaan salasanan vahvistamiseen ennen salasanan tai osoitteen vaihtoa, toisen tunnistautumistekijän käyttöönottoon tai poistoon, työtilan siirtoon, tietojen vientiin ja tilin poistamiseen (viisi yritystä tiliä kohden 15 minuutissa), rekisteröitymisiin (kymmenen IP-osoitetta kohden tunnissa) ja asiakasportaalien salasanoihin (kymmenen yritystä portaalia ja IP-osoitetta kohden, 50 portaalia kohden 15 minuutissa).
  • Toinen tunnistautumistekijä. Jokaisella tilillä voi ottaa käyttöön kirjautumisen RFC 6238:n mukaisella kertakäyttökoodilla (TOTP). Sen salaisuus tallennetaan salattuna tietokantaan; avainta ei tallenneta tietokantaan, joten pelkkä tietokantapoiminta ei riitä. Hyväksytty koodi ei kelpaa toista kertaa. Kymmenen palautuskoodia tallennetaan vain tiivisteenä. Kertakäyttö- ja palautuskoodit on rajattu kymmeneen yritykseen tiliä kohden 15 minuutissa, myös käyttöönoton aikana.
  • Hallinta-alue vain toisella tunnistautumistekijällä. Ylläpitäjän hallinta-alue avautuu vain tileille, joilla toinen tunnistautumistekijä on käytössä. Käyttöönoton tarkistuslista ilmoittaa jokaisen ylläpitäjätilin, jolla ei ole toista tunnistautumistekijää.
  • Istunnot. Istuntoevästettä ei voi lukea skripteillä (HttpOnly), se lähetetään vain HTTPS-yhteydellä (Secure), eikä sitä lähetetä kolmansien osapuolten sivustoilta tuleviin pyyntöihin, jotka voisivat muuttaa jotain (SameSite=Lax). Kirjautumisen yhteydessä luodaan uusi istuntotunnus, jotta etukäteen istutettu tunnus ei ole enää voimassa; palvelin ei hyväksy istuntotunnusta, jota se ei ole itse myöntänyt. Jokainen tili näkee kirjautuneet laitteensa ja voi kirjata ne ulos yksitellen.
  • ”Pidä minut kirjautuneena” on valinnainen ja voimassa 30 päivää, mutta ei tileillä, joilla on hallintaoikeudet; ne kirjautuvat aina salasanalla ja toisella tunnistautumistekijällä. Tunniste koostuu kahdesta osasta; varmentava osa tallennetaan tietokantaan vain tiivisteenä. Jokainen käyttö korvaa sen uudella, ja jopa samanaikaisissa pyynnöissä kukin tunniste on voimassa vain kerran, joten varastettu tunniste huomataan viimeistään seuraavalla aidolla käynnillä.
  • Linkit sähköposteissa. Osoitteen vahvistamiseen ja salasanan palauttamiseen tarkoitetut linkit tallennetaan tietokantaan vain tiivisteenä. Palautuslinkki on voimassa tunnin, rekisteröitymisen vahvistuslinkki 72 tuntia ja muutetun osoitteen vahvistuslinkki 24 tuntia. Jos sähköpostiosoite muutetaan, avoin palautuslinkki mitätöityy.
  • Rajapinnat. API-avaimet, laajennusten yhdistämiskoodit ja käyttöönottokoodit tallennetaan vain tiivisteenä. API-avaimia voi käyttää vain rajoitetun määrän kertoja minuutissa; laajennusten yhdistämiskoodit ovat voimassa 15 minuuttia ja vain kerran.
  • Bottisuojaus julkisissa lomakkeissa (rekisteröityminen, kirjautuminen, salasana, tarkistus, otsaketyökalu, opt-out, tuki ja yhteydenotto): Google reCAPTCHA, joka ladataan vasta lähetettäessä. Vain Googlen kelvollinen vastaus, jossa on riittävä pistemäärä juuri lomakkeen toiminnolle, hyväksytään; jos Google ei vastaa kolmen sekunnin kuluessa, lähetys evätään. Lisätietoja on tietosuojaselosteessa.

3.3 Pääsynvalvonta: palvelinten hallinta

  • Internetistä tavoitettava palvelin sallii pakettisuodattimella vain tarjoamansa palvelut ja estää automaattisesti osoitteet toistuvien epäonnistuneiden palvelinhallinnan kirjautumisyritysten jälkeen.
  • Palvelinten väliset automaattiset prosessit käyttävät omia avaimiaan, joiden oikeudet on rajattu tiukasti. Avain, jolla verkkopalvelin toimittaa skannerin uudet versiot, voi suorittaa skannauspalvelimella vain kiinteän luettelon komentoja ja voi vain kopioida, pelkin kirjoitusoikeuksin, skannerin hakemistoon; interaktiivinen kirjautuminen ei ole sillä mahdollista, ja jokainen hylätty komento kirjataan lokiin. Samoin skannauspalvelin voi kirjoittaa kuvakaappauksia vain tiettyyn hakemistoon verkkopalvelimella.
  • Verkkosivustoa palvelevalla prosessilla ei ole kirjoitusoikeutta tuotantoasennukseen eikä avainta skannauspalvelimelle. Hallinta-alueelta käynnistetty käyttöönotto vain kirjaa työn, jonka erillinen ajo suorittaa.
  • Salaisuudet, kuten tietokannan tunnukset ja avaimet, säilytetään palvellun hakemiston ulkopuolisissa määritystiedostoissa, eikä niitä kopioida käyttöönoton yhteydessä. Verkkopalvelimen määrityksiä ei jaeta verkkokäyttöliittymän kautta.

3.4 Käyttöoikeuksien valvonta: oikeudet palvelussa

  • Roolit. Jokaisessa työtilassa on roolit omistaja, ylläpitäjä ja lukija. Muuttaminen, poistaminen, kutsuminen ja tunnusten tallentaminen on varattu omistajille ja ylläpitäjille; vain omistaja voi muuttaa rooleja ja poistaa jäseniä. Kutsu on voimassa vain niin kauan kuin sen lähettänyt henkilö on edelleen omistaja tai ylläpitäjä. Lukijat näkevät webhookien ja chat-kanavien osoitteet vain isäntään lyhennettyinä, koska pelkkä osoite mahdollistaa kanavalle kirjoittamisen. Tarkistus tehdään palvelimella, ei pelkästään käyttöliittymässä.
  • Sidonta työtilaan. Verkkotunnukset ja asetukset ovat vain työtilan jäsenten käytettävissä. Kustakin tarkistuksesta palvelu luo raportin satunnaisen linkin taakse, jota ei voi arvata; tarkistuksen tuloksiin ja kuvakaappauksiin pääsee tämän linkin kautta ilman kirjautumista, kuvakaappauksiin vain yhdessä niiden raportin linkin kanssa. Linkki näkyy tilillä ja hälytyksissä; joka välittää sen eteenpäin, välittää raportin eteenpäin.
  • Tilaa muuttavat pyynnöt edellyttävät istuntokohtaista suojaustunnistetta (CSRF-suojaus), jota verrataan vakioajassa.
  • ”Näytä asiakkaana”. Tukea varten ylläpitäjä voi nähdä sovelluksen niin kuin Asiakas sen näkee. Näkymä päättyy tunnin kuluttua, estää salasanan, osoitteen, toisen tunnistautumistekijän, laitteiden, tilauksen, viennin ja poistamisen muuttamisen, sulkee hallinta-alueen siksi aikaa ja kirjataan lokiin. Sen päättäminen kirjaa ylläpitäjän kokonaan ulos; ylläpitäjä voi palata hallinta-alueelle vain kirjautumalla uudelleen salasanalla ja toisella tunnistautumistekijällä. Asiakas näkee tämän tietojensa viennissä.
  • Hallinta. Hallintaoikeudet on vain muutamalla nimenomaisesti valtuutetulla tilillä; jokainen hallinnan tekemä toisen tunnistautumistekijän nollaus kirjataan lokiin.

3.5 Erottelun valvonta

  • Asiakkaiden tiedot on eroteltu loogisesti työtiloittain. Jokainen luku- ja kirjoituspolku kirjautuneiden alueella kantaa tämän sidonnan mukanaan; raportteihin pääsee lisäksi niiden linkin kautta (osio 3.4).
  • Kehitys ja tuotanto toimivat erillisissä asennuksissa, joilla on erilliset tietokannat ja erilliset tietokantakäyttäjät. Kehityskäyttäjällä ei ole pääsyä tuotantotietokantaan. Todellisia asiakastietoja ei kopioida kehitysympäristöön; siellä käytämme generoitua esimerkkidataa.
  • Skannerilla on kussakin ympäristössä omat tunnuksensa, joilla on oikeudet vain niihin tietoihin, joita se tarvitsee töihinsä. Se ei voi lukea tilejä, laskutusta tai lokeja.
  • Verkkopalvelimella toimii myös saman palveluntarjoajan muita palveluja. Niillä on omat tietokantansa ja omat tietokantakäyttäjänsä ilman pääsyä tämän palvelun tietoihin.

4. Salaus, pseudonymisointi ja tietojen minimointi

4.1 Kirjautumisen takana tehtävän skannauksen tunnukset

Tätä toimintoa varten Asiakas tallentaa testitilin käyttäjätunnuksen ja salasanan. Ne ovat palvelun arkaluonteisimpia tietoja, ja siksi ne suojataan eri tavalla kuin kaikki muu:

  • Tallennettaessa verkkopalvelin salaa ne skannauspalvelimen julkisella avaimella (ECIES: X25519 tietuekohtaisella kertakäyttöavaimella, HKDF-SHA256, AES-256-GCM). Yksityinen avain on olemassa vain skannauspalvelimella. Verkkopalvelin, tietokanta ja varmuuskopiot sisältävät vain salatekstiä; emmekä mekään voi lukea sitä siellä.
  • Kukin tietue on sidottu kryptografisesti verkkotunnukseensa. Jos se siirretään toiseen verkkotunnukseen, salauksen purku epäonnistuu.
  • Skannausta varten salateksti liitetään työhön. Skannauspalvelin purkaa sen salauksen ja välittää tunnukset tarkistussäiliölle vain vakiosyötteen kautta, ei koskaan komentoriviargumenttina, joka näkyisi prosessiluetteloissa. Heti kun skannauspalvelin on lukenut salatekstin, se poistetaan työstä; ajo siivoaa mahdolliset jäänteet viimeistään tunnin kuluttua.
  • Tunnuksia ei koskaan näytetä, kirjata lokiin eikä anneta ulos API:n kautta, eikä niitä viedä. Käyttöliittymä näyttää vain käyttäjätunnuksen ensimmäisen merkin ja pituuden. Niiden poistaminen ylikirjoittaa salatekstin.
  • Kirjautumisen takana skanneri vain lukee: ei lähettämistä, ei aktiivista testiä, ei kuvakaappauksia, ei uloskirjautumis-, poisto- tai peruutussivuja.

4.2 Muu salaus ja tiivisteet

  • Salasanat, palautuskoodit, asiakasportaalien salasanat, API-avaimet, yhdistämis- ja käyttöönottokoodit, ”Pidä minut kirjautuneena” -tunnisteet, laiteluettelon istuntotunnukset sekä vahvistus- ja palautuslinkit tallennetaan vain tiivisteenä.
  • Toisen tunnistautumistekijän salaisuudet tallennetaan salattuina (osio 3.2).
  • Emme väitä koko tietokannan olevan salattu levossa. Arkaluonteiset arvot suojataan yksitellen edellä kuvatulla tavalla.

4.3 Sisäänrakennettu tietojen minimointi

  • Toimitustarkistus: Vain otsakkeet ja enintään tekstin 8 ensimmäistä kilotavua luetaan. Tietokantaan päätyvät vain ajankohta, liitos, tarvittaessa testilähetyksen tunnus ja aitoustarkistuksen tulos (SPF, DKIM, DMARC), ei koskaan sisältöä eikä täydellistä lähettäjäosoitetta. Viimeisimmän sähköpostin aitoustulos säilytetään verkkotunnuksen yhteydessä, ja seuraava korvaa sen; se sisältää toimittavan postipalvelimen IP-osoitteen ja lähettäjän sähköpostiverkkotunnuksen. Sähköposti poistetaan postilaatikosta onnistuneen käsittelyn jälkeen; jos nouto tai poisto epäonnistuu, tämä tapahtuu seuraavassa onnistuneessa ajossa.
  • Tarkistukset: Lomakkeiden rakenne tallennetaan kenttien nimineen, tyyppeineen ja nimiöineen sekä pakollisuus- ja näkyvyysattribuutteineen, ilman arvoja; skanneri lukee esitäytettyjen piilokenttien (enintään 24 merkkiä) ja data-attribuuttien (enintään 60 merkkiä) alkuosat vain tarkistuksen aikana eikä tallenna niitä. Täyden tarkistuksen kuvakaappauksia ei peitetä; vain selaintarkistukset peittävät syöttökentät. Lomakkeiden vastaanottajaosoitteet tallennetaan vain verkkotunnuksena. Aktiiviset testilähetykset sisältävät vain merkittyjä testitekstejä ilman henkilötietoja.
  • WordPress- ja TYPO3-laajennukset välittävät vain päivittäisiä lukuja ja ominaisuuksia, kuten lisäosaluettelon, ja yhdistetyn WordPress-lisäosan osalta myös estettyjen viestien linkkien verkkotunnukset parviosuojausta varten (oletuksena käytössä); ei muuta sisältöä, ei kävijöiden nimiä, osoitteita tai IP-osoitteita. Valinnaiset lomake- ja kenttävirhemäärät ovat oletuksena pois käytöstä.
  • ”Fix it for me”: Liitettyä koodia käsitellään vain pyynnön ajan, eikä sitä tallenneta.
  • Merkki: Asiakkaiden verkkosivustoilla näkyvä merkkikuva ei aseta evästettä eikä aloita istuntoa.
  • Toiminnalliset ilmoitukset ylläpitäjän puhelimeen ovat kiinteitä tekstejä ilman muuttujia, eli ilman nimiä, osoitteita tai sisältöä. Ylläpitäjälle sähköpostitse lähetettävät virheilmoitukset sisältävät virheilmoituksen raakatekstin siistimättömänä ja 400 merkkiin katkaistuna; yksittäistapauksissa se voi sisältää osoitteita tai linkkejä.
  • Parviosuojaus: Asiakkaiden laajennusten kesken jaetaan vain estetyn roskapostin linkkien verkkotunnuksia; IP-verkkojen vaihto on pois käytöstä.
  • Sijainti: IP-osoitteen maa määritetään paikallisesta tietokantatiedostosta; mitään osoitetta ei lähetetä paikannuspalveluun.

5. Suojaus skannerin väärinkäyttöä vastaan

Skanneri lataa kolmansien osapuolten sivuja oikealla selaimella. Ilman suojausta se olisi työkalu, jolla joku ulkopuolinen voisi päästä sisäverkkoomme tai muihin ei-julkisiin kohteisiin (palvelinpuolen pyyntöväärennös, SSRF). Siksi käytössä on kaksi toisistaan riippumatonta kerrosta ja jokaisen yksittäisen ajon eristäminen.

5.1 Eristetty ajo

  • Jokainen tarkistus suoritetaan omassa säiliössään, joka poistetaan sen jälkeen. Se toimii ilman ylläpitäjän oikeuksia, ilman käyttöjärjestelmän lisäoikeuksia ja ilman mahdollisuutta korottaa oikeuksia. Sen tiedostojärjestelmä on vain luku -tilassa pieniä tilapäisiä alueita lukuun ottamatta.
  • Muisti, prosessien määrä ja ajoaika on rajoitettu; ajo, joka ylittää ajan, lopetetaan.

5.2 Verkko: kaksi kerrosta

  • Ensimmäinen kerros, skannerissa: Ennen skannausta ja sen jälkeen jokaisen selaimen yksittäisen pyynnön kohdalla, uudelleenohjaukset ja upotettu sisältö mukaan lukien, tarkistetaan, mihin osoite selvitetään. Yksityiset, paikalliset, varatut ja dokumentaatioverkot (IPv4 ja IPv6) hylätään, samoin kuin muut kuin verkossa tavanomaiset portit. Selain ei salli service workereita, ja WebSocket-yhteydet suljetaan, koska molemmat voisivat ohittaa tämän tarkistuksen.
  • Toinen kerros, verkossa: Säiliöt toimivat omassa verkossaan. Palomuurisäännöt sallivat sieltä yhteydet internetiin vain verkkoportteihin; yhteydet yksityisiin verkkoihin, mukaan lukien sisäverkkomme verkkopalvelimineen ja tietokantoineen, estetään. Itse tarkistusajon edellyttämät poikkeukset on rajattu välttämättömään ja kuvattu sisäisessä dokumentaatiossamme. Tämä kerros toimii myös, jos nimi selvitetään eri tavalla vasta ensimmäisen tarkistuksen jälkeen.

5.3 Verkkopalvelimen tekemät pyynnöt

Kun verkkopalvelin itse tekee pyyntöjä kolmansien osapuolten osoitteisiin – verkkotunnuksen hallinnan todistamiseksi, otsaketyökalua varten, paljastuneiden tiedostojen etsintää varten, pulssipyyntöjä varten, RDAP-kyselyjä ja varmenteiden tarkistamista varten, webhookeja ja chat-hälytyksiä varten sekä valinnaista toista mittauspistettä varten – sovelletaan samoja sääntöjä: vain verkkoprotokollat tavanomaisissa verkkoporteissa (webhookit ja chat-hälytykset vain HTTPS-yhteydellä vakioporttiin), vain julkiset osoitteet, yhteys vain täsmälleen etukäteen tarkistettuun osoitteeseen, jotta nimeä ei voida jälkikäteen ohjata sisäiseen kohteeseen, uudelleenohjauksia ei seurata lainkaan tai niitä seurataan vain manuaalisesti ja ne tarkistetaan joka kerta uudelleen, lyhyet aikarajat; verkkotunnuksen hallinnan todistamisessa, pulssipyynnöissä ja selaintarkistusten toisessa mittauspisteessä myös rajoitettu vastauksen koko.

5.4 Mitä skanneri ei tee kolmansien osapuolten sivustoilla

  • Aktiivisia testilähetyksiä (enintään viisi tarkistusta kohden) tehdään Asiakkaille vain verkkotunnuksiin, joiden hallinnasta on esitetty todiste (DNS, meta-tagi, tiedosto tai laajennus); ainoa poikkeus ovat omien testi- ja demoverkkotunnustemme sisäiset tarkistukset. Verkkotunnuksen, jonka hallinta on todistettu, isäntänimeä ei voi muuttaa, jotta todiste ei siirry toiselle isännälle. Kaikki muu on passiivista: sivujen lukemista kävijän tavoin.
  • Selaintarkistukset etenevät lähettämistä edeltävään vaiheeseen asti eivätkä käynnistä tilausta, maksua tai lähetystä.
  • Opt-out-luettelossa olevia verkkotunnuksia ei tarkisteta; jatkuva valvonta päättyy seuraavaan ajoitettuun tarkistukseen.

6. Eheys: siirto ja syöttö

6.1 Siirto

  • Sovellukseen pääsee internetistä vain HTTPS-yhteydellä; selainta kehotetaan käyttämään vain HTTPS-yhteyttä yhden vuoden ajan (HSTS). Varmenteet uusitaan automaattisesti.
  • Muut otsakkeet rajoittavat sovelluksen upottamista kolmansien osapuolten sivuille, tiedostotyyppien arvaamista ja lomakkeiden lähettämistä kolmansien osapuolten kohteisiin. Sisällön suojauskäytäntö (CSP) sallii sovelluksessa vain niiden skriptien suorittamisen, jotka palvelin vapauttaa kunkin vastauksen yhteydessä; nykyiset selaimet eivät suorita HTML:ään syötettyjä skriptejä tai tapahtumankäsittelijöitä.
  • Toimitustarkistuksen postilaatikko noudetaan salatun yhteyden kautta varmenteen tarkistuksella.
  • Webhookit voidaan allekirjoittaa Asiakkaan salaisuudella (HMAC-SHA256 aikaleimalla), jotta vastaanottaja voi tarkistaa alkuperän ja eheyden. Pyynnöt valinnaiseen toiseen mittauspisteeseen allekirjoitetaan, ja selaintarkistuksissa myös niiden vastaukset.
  • Avoimesti todettuna: Sisäverkkomme yhteyksiä ei ole salattu kauttaaltaan. Kirjautumisen takana tehtävän skannauksen tunnukset pysyvät salattuina koko ajan (osio 4.1).

6.2 Syötön valvonta ja lokit

  • Tärkeät toimet tileillä ja työtiloissa (kuten kirjautuminen, verkkotunnusten, hälytyskohteiden ja oikeuksien muutokset, poistot, tuen pääsy) kirjataan toimintalokiin tilin, ajankohdan, IP-osoitteen ja maan kera, ja ne poistetaan 365 päivän kuluttua.
  • Tietoturvaa ja väärinkäytösten estämistä varten säilytettävät sivujen käyttötiedot poistetaan 60 päivän kuluttua, virhelokit 90 päivän kuluttua ja lähetettyjen sähköpostien sisällöt 30 päivän kuluttua. Pyydettyjen osoitteiden ja viittaajien käyttötunnisteet, kuten raportti- tai portaalilinkkien tunnisteet, näkyvät sivujen käyttötiedoissa vain peitettyinä.
  • Sopimusasiakirjojen hyväksyminen tallennetaan näytetyn version, sen tarkistussumman, ajankohdan, IP-osoitteen ja selaintunnisteen kera.
  • Todistelokeihin voidaan liittää ulkoisen aikaleimapalvelun aikaleima; sille lähetetään vain sisällön tarkistussumma, ei itse sisältöä.

7. Käytettävyys ja vikasietoisuus

7.1 Varmuuskopiointi

  • Tietokanta varmuuskopioidaan joka yö. Varmuuskopio saa lopullisen nimensä vasta, kun sen sisältö on tarkistettu: varmuuskopio-ohjelman onnistunut päättyminen, vähintään yksi tietue, yhtä monta taulua kuin tietokannassa on sekä täydellisen ajon loppurivi. Vanhemmat varmuuskopiot poistetaan vasta onnistuneen uuden varmuuskopion jälkeen.
  • Kukin varmuuskopio poistetaan 14 päivän kuluttua. Tallennuspaikka on kaikkien palveltujen hakemistojen ulkopuolella; projektin sisäinen sijainti hylätään.
  • Palautustesti: Kerran viikossa uusin varmuuskopio ladataan kertakäyttöiseen tietokantaan, sitä verrataan taulu taululta tuotantoon ja se poistetaan uudelleen. Tulos tallennetaan.
  • Jos varmuuskopio tai testi epäonnistuu, siitä lähetetään ilmoitus sähköpostitse ja ylläpitäjän puhelimeen.
  • Palautuminen poikkeaman jälkeen: Jos tietokanta vikaantuu tai tiedot vioittuvat, palautamme uusimman testatun varmuuskopion. Tämän varmuuskopion jälkeen tehdyt muutokset, yleensä enintään yhden päivän muutokset, voivat tällöin kadota; jos varmuuskopio on epäonnistunut, vastaavasti enemmän. Suoritamme sen jälkeen uudelleen tiedossa olevat myöhemmät poistopyynnöt (osio 8). Emme sitoudu mihinkään tiettyyn palautumisaikaan.
  • Rajoitus, avoimesti todettuna: Varmuuskopiot säilytetään tällä hetkellä samassa paikassa kuin tietokanta, eikä niitä ole salattu erikseen. Ne suojaavat käyttövirheiltä, virheellisiltä muutoksilta ja vioittuneilta tiedoilta, mutta eivät itse palvelimen menetykseltä. Salattu kopio toisessa sijainnissa on suunnitteilla (osio 10).
  • Kirjautumisen takana tehtävän skannauksen tunnukset sisältyvät varmuuskopioihin vain salatekstinä; toisen tunnistautumistekijän salaisuus vain salattuna, avain tietokannan ulkopuolella.

7.2 Valvonta

  • Tilaa tarkistava ajo tarkistaa palvelun komponentit viiden minuutin välein, mukaan lukien tietokanta, jono ja skannerin sydämenlyönti, jonka skanneri kirjoittaa säännöllisesti myös joutokäynnillä. Jos komponentti vikaantuu, lähetetään ilmoitus; jos se palautuu, lähetetään ilmoitus tilanteen normalisoitumisesta.
  • Ristikkäisvalvonta: Tilaa tarkistava ajo ei voi ilmoittaa sen koneen vikaantumisesta, jolla se itse toimii. Siksi skannauspalvelin tarkistaa joka minuutti, vastaako sovellus, ja ilmoittaa useiden peräkkäisten epäonnistumisten jälkeen kiinteällä tekstillä ylläpitäjän puhelimeen. Vastaavasti verkkopalvelin valvoo skannerin sydämenlyöntiä; käyttöönoton tarkistuslista näyttää, toimiiko ristikkäisvalvonta.
  • Virhehälytys: Virhetyypistä, jota ei ole koskaan aiemmin esiintynyt, ilmoitetaan kerran välittömästi; virheiden kasautuminen laukaisee vain yhden signaalin ylläpitäjän puhelimeen; kerran päivässä lähetetään yhteenveto. Näin emme saa tietää virheestä ensimmäisenä Asiakkaalta.
  • Rajoitus, avoimesti todettuna: Molemmat palvelimet ovat samassa sijainnissa. Koko sijainnin vikaantumisesta, esimerkiksi sähkökatkosta tai internetyhteyden katkeamisesta, ei ilmoita mikään hälytysmekanismi, vaan sen huomaa ihminen.

7.3 Muutokset ja käyttöönotto

  • Uudet versiot rakennetaan ja testataan ensin erillisessä kehitysympäristössä. Käyttöönotto tarkistaa kaikki edellytykset ennen kuin ensimmäinen tiedosto kirjoitetaan, tekee tietokantaskeeman muutokset ja antaa käynnissä olevien tarkistusten päättyä hallitusti ennen skannerin uudelleenkäynnistystä.
  • Uuden Asiakkaan polulle on savutesti todellisen HTTP:n yli, ja se ajetaan muutosten jälkeen. Emme väitä, että automaattinen testisarja ajettaisiin ennen jokaista yksittäistä käyttöönottoa.

8. Poistaminen ja säilytysajat

  • Joka yö suoritettava poistoajo valvoo tietosuojaselosteessa ja henkilötietojen käsittelysopimuksessa mainittuja aikoja. Se lukee samat asetukset, joista tekstien luvut otetaan; näiden aikojen osalta teksti ja toiminta eivät siten poikkea toisistaan.
  • Tarkistustulokset kuvakaappauksineen poistetaan 13 kuukauden kuluttua (viimeisin verkkotunnusta kohden säilyy), laajennusten luvut 13 kuukauden kuluttua, hälytysten toimituslokit 90 päivän kuluttua ja tukipyynnöt 24 kuukauden kuluttua.
  • Verkkotunnuksen poistaminen poistaa verkkotunnuksen tiedot, mukaan lukien tarkistukset, lomakkeet, havainnot, kuvakaappaukset, raportit, työt, hälytyskohteet ja -lokit, häiriötapaukset, toimitustiedot, kirjautumisen takana tehtävän skannauksen tunnukset ja todisteet.
  • Tilin poistaminen tapahtuu välittömästi; työtilat, joissa ei ole muita jäseniä, poistetaan tietoineen, ja työtilat, joissa on muita jäseniä, siirtyvät toiselle jäsenelle, ensisijaisesti ylläpitäjille ja heistä pisimpään mukana olleelle. Omien säilytysaikojensa päättymiseen asti säilyvät: lokit, joiden merkinnöissä on vanha tilinumero, joka ei enää viittaa mihinkään olemassa olevaan tiliin, poistomerkintä mukaan lukien, sekä lähetetyt sähköpostit, todiste sopimuksen tekemisestä, tukipyynnöt, mahdollisten asiakkaiden tarkistusten raportit (enintään 90 päivää) ja laskutustiedot Stripessä; lisätietoja on tietosuojaselosteessa.
  • Poistetut tiedot säilyvät varmuuskopioissa, kunnes ne vanhenevat 14 päivän kuluttua. Kohdennettua poistamista varmuuskopion sisältä ei tehdä; jos varmuuskopio palautetaan, tiedossa olevat myöhemmät poistopyynnöt suoritetaan uudelleen manuaalisesti.

9. Organisaatio ja tarkastelu

  • Henkilöt: Palvelua ylläpitää tällä hetkellä omistaja itse. Muut henkilöt saavat pääsyn vasta salassapitositoumuksen jälkeen ja vain tarpeellisessa laajuudessa, ja he käsittelevät tietoja vain ohjeidemme mukaisesti (GDPR Art. 29 ja Art. 32(4)).
  • Alikäsittelijät: Otamme niitä käyttöön vain tarkistettuamme niiden takeet ja GDPR Art. 28(4) mukaisen sopimuksen perusteella, ja luettelemme ne sivulla Alikäsittelijät; yksityiskohdat määräytyvät henkilötietojen käsittelysopimuksen mukaan.
  • Henkilötietojen tietoturvaloukkaukset: Jos henkilötietojen tietoturvaloukkaus koskee käsittelijänä käsittelemiämme tietoja, ilmoitamme siitä Asiakkaalle ilman aiheetonta viivytystä, mahdollisuuksien mukaan 48 tunnin kuluessa; yksityiskohdat määräytyvät henkilötietojen käsittelysopimuksen mukaan.
  • Haavoittuvuuksista ilmoittaminen: Otamme ilmoituksia vastaan sivulla Tietoturva ja tiedoston /.well-known/security.txt kautta.
  • Käyttöönoton ja julkaisun tarkistuslista: Hallinta-alueella tarkistuslista mittaa tietoturvan kannalta merkityksellisten asetusten tilan, kuten varmuuskopioinnin, ylläpitäjät ilman toista tunnistautumistekijää, sähköpostiasetukset ja sydämenlyönnin, ja näyttää poikkeamat.
  • Näiden toimenpiteiden tarkastelu (GDPR Art. 32(1)(d)): jokaisen palvelun merkittävän muutoksen yhteydessä, jokaisen tietoturvapoikkeaman jälkeen ja muuten vähintään kerran vuodessa. Arvioimme tällöin, ovatko toimenpiteet tehokkaita ja vastaavatko ne edelleen riskejä, ja kirjaamme tuloksen tämän sivun uuteen versioon tai, jos mikään ei muutu, tarkastelun päivämäärän kera osioon 11. Jatkuvasti käyttöönoton ja julkaisun tarkistuslista mittaa kattamiensa asetusten tilaa.
  • Ulkoiset auditoinnit: Ulkoisia tunkeutumistestauksia ei tällä hetkellä ole tilattu, eikä tietoturvasertifiointeja ole. Tämä todetaan tässä, jotta kukaan ei oleta niiden olevan olemassa.

10. Suunniteltu, ei vielä toteutettu

Nämä kohdat eivät ole sitovia toimenpiteitä ennen kuin ne mainitaan tässä toteutettuina uudessa versiossa:

  • Varmuuskopio toisessa sijainnissa: salattu kopio öisestä varmuuskopiosta palvelimen ulkopuolella, jotta edes palvelimen täydellinen menetys ei johda tietojen menetykseen.
  • Toinen mittauspiste: Selaintarkistusten riippumaton vahvistus toisesta sijainnista on valmisteltu palvelussa, mutta sitä ei ole otettu käyttöön. Ilman sitä ei saada vahvistusta toisesta sijainnista.
  • Palvelinten hallinnan koventaminen: Tämä jatkuu. Osiossa 1 mainituista syistä emme julkaise yksityiskohtia.

11. Tila ja versio

  • Versio 1.1 · Päivitetty viimeksi: 22. lokakuuta 2026 · kieliversioiden välisissä ristiriitatilanteissa ensisijainen on Puolan kielinen versio saksankielisen sijaan; ei muita muutoksia.
  • Versio 1.0 · Päivitetty viimeksi: 11. lokakuuta 2026 · ensimmäinen versio erillisenä sivuna; aiemmin henkilötietojen käsittelysopimuksen liite 2. Korjattu aiempaan liitteeseen verrattuna: palautustesti ajetaan viikoittain, varmuuskopiot ovat samalla palvelimella, automaattista testisarjaa ei ajeta ennen jokaista käyttöönottoa, sisäverkon yhteyksiä ei ole salattu kauttaaltaan. Uutena kuvattu: kirjautumisen takana tehtävän skannauksen tunnusten salaus, skannerin eristäminen, ristikkäisvalvonta ja virhehälytys.
  • Muutokset julkaistaan uudella versionumerolla tässä ja yleiskatsauksessa Sopimusasiakirjojen muutokset; toimenpiteiden heikentämiseen sovelletaan henkilötietojen käsittelysopimuksen ilmoitusaikaa.
  • Kieliversioiden välisissä ristiriitatilanteissa Puolan kielinen versio on ensisijainen.