तकनीकी और संगठनात्मक उपाय

यह दस्तावेज़ कई भाषाओं में प्रकाशित है। भाषा संस्करणों में किसी भी अंतर की स्थिति में पोलिश संस्करण बाध्यकारी है।

संस्करण 1.1 · अंतिम अद्यतन: 22 अक्टूबर 2026

Art. 32 GDPR के उपाय जिनसे LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland, formexposed सेवा की सुरक्षा करता है। यह पृष्ठ अनुलग्नक 2 के रूप में डेटा प्रसंस्करण समझौता का हिस्सा है।

1. दायरा और सिद्धांत

उपाय सेवा द्वारा प्रसंस्कृत सभी डेटा पर लागू हैं: ग्राहकों की ओर से प्रसंस्कृत डेटा पर (डेटा प्रसंस्करण समझौते में वर्णित) और उस डेटा पर जिसके नियंत्रक हम स्वयं हैं, जैसे ग्राहक खाते और लॉग। दोनों के अलग सुरक्षा स्तर नहीं हैं; जो खाते की सुरक्षा करता है, वही प्रसंस्करणकर्ता डेटा की भी करता है।

Art. 32(1) GDPR के अनुसार संरचना। छद्मनामीकरण और एन्क्रिप्शन (बिंदु (a)) खंड 4 में हैं; सिस्टम की निरंतर गोपनीयता, अखंडता, उपलब्धता और लचीलापन (बिंदु (b)) खंड 3, 5, 6 और 7 में; घटना के बाद समय पर उपलब्धता बहाल करने की क्षमता (बिंदु (c)) खंड 7.1 में; प्रभावशीलता के नियमित परीक्षण, आकलन और मूल्यांकन की प्रक्रिया (बिंदु (d)) खंड 9 में है। हमने अपने डेटा संरक्षण प्रभाव आकलन में बताए जोखिमों के आधार पर, तकनीक की वर्तमान स्थिति और लागू करने की लागत को ध्यान में रखकर उपाय चुने।

सिद्धांत: इरादे के बजाय लागू स्थिति। यहाँ केवल वही बताया गया है जो कोड या संचालन में वास्तव में लागू है। नियोजित लेकिन अभी लागू नहीं किए गए उपाय खंड 10 में स्पष्ट रूप से “नियोजित” सूचीबद्ध हैं। यहाँ अनुपस्थित उपाय को चुपचाप मौजूद नहीं माना जा सकता।

मशीनों के नाम, आंतरिक पते, पोर्ट, उपयोगकर्ता नाम और सॉफ़्टवेयर संस्करण जानबूझकर नहीं बताए गए हैं। उपायों का मूल्यांकन करने में वे मदद नहीं करते, लेकिन उन्हें दरकिनार करने वाले की मदद करते हैं। डेटा प्रसंस्करण समझौते के अंतर्गत ऑडिट के लिए जिन्हें उनकी आवश्यकता हो, उन्हें ऑडिट के दौरान गोपनीयता के अंतर्गत आवश्यक सीमा तक दिए जाएँगे।

2. सेवा की संरचना

सेवा प्रदाता के अपने दो सर्वरों पर पोलैंड में एक ही आंतरिक नेटवर्क में चलती है:

डेटाबेस सहित वेब सर्वर। यह एप्लिकेशन देता है, डेटाबेस रखता है, अधिसूचनाएँ भेजता है और डेटा का बैकअप बनाता है। केवल यही इंटरनेट से अनुरोध स्वीकार करने के लिए स्थापित है।
स्कैन सर्वर। यह ब्राउज़र में तृतीय पक्ष और अपनी वेबसाइटों की जाँच करता है तथा अलग-अलग फ़ॉर्म वर्गीकृत करने, सशुल्क खातों के लिए स्कैन निष्कर्षों को प्राथमिकता के क्रम में व्यवस्थित कार्य योजनाओं के रूप में संक्षेपित करने और “Fix it for me” में कोड जोड़ने वाला भाषा मॉडल चलाता है। यह इंटरनेट से अनुरोध स्वीकार करने के लिए स्थापित नहीं है, बल्कि कार्य स्वयं वेब सर्वर से लेता है और परिणाम वहीं लौटाता है।

संचालन में कोई होस्टिंग, डेटा सेंटर या क्लाउड प्रदाता शामिल नहीं है और बाहरी AI सेवा को कुछ नहीं जाता। किन तृतीय पक्षों को डेटा मिलता है, यह उप-प्रसंस्करणकर्ता पृष्ठ पर है।

3. गोपनीयता

3.1 भौतिक पहुँच नियंत्रण

सर्वर पोलैंड में प्रदाता के ऐसे परिसर में हैं जो जनता के लिए खुला नहीं है। केवल स्वामी को पहुँच है (संचालक के कथन के अनुसार)। स्थान का सटीक पता जानबूझकर यहाँ नहीं दिया गया है।

3.2 पहुँच नियंत्रण: सेवा में लॉगिन

पासवर्ड PHP की मानक विधि (bcrypt) से केवल हैश के रूप में सहेजे जाते हैं। मानक विधि बदलने पर अगले लॉगिन पर हैश नया होता है। अज्ञात पते के लॉगिन प्रयास पर भी सर्वर हैश गणना करता है ताकि प्रतिक्रिया समय खाते का अस्तित्व न बताए। इसी तरह पासवर्ड रीसेट के उत्तर की भाषा या अवधि खाते का अस्तित्व नहीं बताती; एक पते पर प्रति घंटे अधिकतम तीन रीसेट ईमेल जाते हैं। नए पासवर्ड कम से कम दस अक्षर और अधिकतम 72 बाइट (UTF-8) के होने चाहिए, क्योंकि bcrypt अधिक बाइट नहीं लेता। पासवर्ड बदलने पर अन्य सभी उपकरण साइन आउट होते हैं; लिंक से रीसेट पर सभी उपकरण साइन आउट होते हैं और लिंक केवल एक बार वैध है।
विफल प्रयासों के बाद रोक। विफल लॉगिन प्रति IP पते गिने जाते हैं; कम समय में बहुत अधिक होने पर (वर्तमान में 15 मिनट में आठ) उस पते से लॉगिन अस्थायी रूप से ब्लॉक होता है। सफल लॉगिन गणक रीसेट करता है। प्रयास सात दिनों बाद मिटते हैं। इसके अतिरिक्त हर पासवर्ड जाँच से पहले प्रति खाते (अज्ञात पते पर दर्ज पते के लिए) और प्रति IP पते एक प्रयास गिना जाता है, सफल प्रयास भी: वर्तमान में 15 मिनट में उसी IP से प्रति खाते अधिकतम आठ और प्रति IP अधिकतम 80; वितरित अनुमान रोकने के लिए सभी पतों से मिलाकर प्रति खाते काफी अधिक सीमा है। इसलिए अन्य पते के विफल प्रयास स्वामी को खाते से बाहर नहीं रोकते। गणकों में केवल HMAC कुंजी है, स्पष्ट पाठ में ईमेल या IP पता नहीं, और वे समय खिड़की के साथ समाप्त होते हैं। गणक भंडारण अनुपलब्ध हो, तो लॉगिन अस्वीकार होता है, जाने नहीं दिया जाता। इसी प्रकार की सीमा पासवर्ड या पता बदलने, दूसरा कारक चालू या बंद करने, कार्यस्थान हस्तांतरित करने, डेटा निर्यात और खाता मिटाने से पहले पासवर्ड पुष्टि पर (15 मिनट में प्रति खाते पाँच प्रयास), पंजीकरण पर (प्रति IP प्रति घंटे दस) और क्लाइंट पोर्टल पासवर्ड पर (प्रति पोर्टल और IP दस प्रयास, 15 मिनट में प्रति पोर्टल 50) लागू है।
दूसरा कारक। हर खाता RFC 6238 (TOTP) का एकबारगी कोड लॉगिन चालू कर सकता है। इसका गुप्त मान डेटाबेस में एन्क्रिप्टेड है; कुंजी डेटाबेस में नहीं रहती, इसलिए केवल डेटाबेस की प्रति पर्याप्त नहीं। स्वीकृत कोड दूसरी बार वैध नहीं है। दस पुनर्प्राप्ति कोड केवल हैश में सहेजे जाते हैं। एकबारगी और पुनर्प्राप्ति कोड के लिए सेटअप के दौरान भी 15 मिनट में प्रति खाते दस प्रयास की सीमा है।
प्रशासन क्षेत्र केवल दूसरे कारक के साथ। संचालक का प्रशासन क्षेत्र केवल दूसरा कारक चालू रखने वाले खातों के लिए खुलता है। सेटअप सूची बिना दूसरे कारक के हर प्रशासक खाते की सूचना देती है।
सत्र। सत्र कुकी स्क्रिप्ट नहीं पढ़ सकती (HttpOnly), केवल HTTPS से भेजी जाती है (Secure) और तृतीय पक्ष वेबसाइट से बदलाव कर सकने वाले अनुरोधों के साथ नहीं भेजी जाती (SameSite=Lax)। लॉगिन पर नया सत्र ID बनता है ताकि पहले डाला ID वैध न रहे; सर्वर स्वयं जारी न किया सत्र ID स्वीकार नहीं करता। हर खाता अपने साइन इन उपकरण देख और अलग साइन आउट कर सकता है।
“मुझे साइन इन रखें” वैकल्पिक है और 30 दिन वैध है, लेकिन प्रशासन अधिकार वाले खातों के लिए नहीं; वे हमेशा पासवर्ड और दूसरे कारक से साइन इन करते हैं। टोकन दो भाग का है; सत्यापन भाग डेटाबेस में केवल हैश में रहता है। हर उपयोग नया टोकन बनाता है और एकसाथ अनुरोधों में भी प्रत्येक टोकन केवल एक बार वैध है, ताकि चोरी टोकन का पता अधिकतम अगली वास्तविक यात्रा पर लगे।
ईमेल के लिंक। पता पुष्टि और पासवर्ड रीसेट लिंक डेटाबेस में केवल हैश हैं। रीसेट लिंक एक घंटे, पंजीकरण पुष्टि लिंक 72 घंटे और बदले पते की पुष्टि लिंक 24 घंटे वैध है। ईमेल पता बदलने पर खुला रीसेट लिंक अवैध होता है।
इंटरफ़ेस। API कुंजियाँ, एक्सटेंशन कनेक्शन कोड और रोलआउट कोड केवल हैश में सहेजे जाते हैं। API कुंजियाँ प्रति मिनट सीमित बार उपयोग हो सकती हैं; एक्सटेंशन कनेक्शन कोड 15 मिनट और केवल एक बार वैध हैं।
सार्वजनिक फ़ॉर्म (पंजीकरण, लॉगिन, पासवर्ड, जाँच, हेडर उपकरण, opt-out, सहायता और संपर्क) पर बॉट सुरक्षा: Google reCAPTCHA, जो केवल जमा करने पर लोड होता है। ठीक फ़ॉर्म की कार्रवाई के लिए पर्याप्त स्कोर वाला Google का वैध उत्तर ही स्वीकार है; Google तीन सेकंड में उत्तर न दे, तो सबमिशन अस्वीकार होता है। विवरण गोपनीयता नीति में है।

3.3 पहुँच नियंत्रण: सर्वर प्रशासन

इंटरनेट से उपलब्ध सर्वर पैकेट फ़िल्टर से केवल अपनी दी सेवाओं को अनुमति देता है और सर्वर प्रशासन में बार-बार विफल लॉगिन पर पते स्वचालित ब्लॉक करता है।
सर्वरों की स्वचालित प्रक्रियाएँ बहुत सीमित अधिकार वाली अपनी कुंजियाँ उपयोग करती हैं। वेब सर्वर द्वारा स्कैनर के नए संस्करण पहुँचाने की कुंजी स्कैन सर्वर पर केवल निश्चित सूची के आदेश चला सकती है और केवल स्कैनर निर्देशिका में लिखने मात्र की कॉपी कर सकती है; उससे इंटरैक्टिव लॉगिन संभव नहीं और हर अस्वीकृत आदेश लॉग होता है। इसी तरह स्कैन सर्वर वेब सर्वर की विशेष निर्देशिका में ही स्क्रीनशॉट लिख सकता है।
वेबसाइट देने वाली प्रक्रिया के पास न उत्पादन स्थापना में लिखने की पहुँच और न स्कैन सर्वर की कुंजी है। प्रशासन क्षेत्र से शुरू तैनाती केवल कार्य दर्ज करती है, जिसे अलग प्रक्रिया करती है।
डेटाबेस लॉगिन विवरण और कुंजियों जैसे रहस्य उपलब्ध कराई जाने वाली निर्देशिका के बाहर कॉन्फ़िगरेशन फ़ाइलों में हैं और तैनाती में साथ कॉपी नहीं होते। वेब सर्वर कॉन्फ़िगरेशन वेब इंटरफ़ेस से वितरित नहीं होता।

3.4 प्राधिकरण नियंत्रण: सेवा के भीतर अधिकार

भूमिकाएँ। हर कार्यस्थान में स्वामी, प्रशासक और दर्शक की भूमिकाएँ हैं। बदलना, मिटाना, आमंत्रित करना और लॉगिन विवरण रखना स्वामी और प्रशासक के लिए आरक्षित है; भूमिकाएँ बदलना और सदस्य हटाना केवल स्वामी कर सकता है। आमंत्रण तभी तक वैध है जब तक भेजने वाला स्वामी या प्रशासक है। दर्शक वेबहुक और चैट चैनल पते केवल होस्ट तक संक्षिप्त देखते हैं, क्योंकि अकेला पता चैनल में पोस्ट की अनुमति देता है। जाँच सर्वर पर होती है, केवल इंटरफ़ेस में नहीं।
कार्यस्थान से बंधन। डोमेन और सेटिंग केवल कार्यस्थान सदस्यों के लिए सुलभ हैं। हर जाँच की रिपोर्ट ऐसे यादृच्छिक लिंक पर बनती है जिसका अनुमान नहीं लगाया जा सकता; उससे परिणाम और स्क्रीनशॉट बिना साइन इन देखे जा सकते हैं, स्क्रीनशॉट केवल अपनी रिपोर्ट के लिंक के साथ। लिंक खाते और अलर्ट में आता है; आगे देने वाला रिपोर्ट आगे देता है।
स्थिति बदलने वाले अनुरोधों के लिए प्रति सत्र सुरक्षा टोकन आवश्यक है (CSRF सुरक्षा), जिसकी तुलना स्थिर समय में होती है।
“ग्राहक के रूप में देखें”। सहायता के लिए संचालक एप्लिकेशन ग्राहक के समान देख सकता है। दृश्य एक घंटे बाद समाप्त होता है, पासवर्ड, पता, दूसरा कारक, उपकरण, सदस्यता, निर्यात और विलोपन बदलना रोकता है, इस दौरान प्रशासन क्षेत्र बंद करता है और लॉग होता है। इसे समाप्त करने पर संचालक पूरी तरह साइन आउट होता है; प्रशासन क्षेत्र में लौटने के लिए फिर पासवर्ड और दूसरे कारक से साइन इन करना होता है। ग्राहक अपने डेटा निर्यात में इसे देख सकता है।
प्रशासन। केवल कुछ स्पष्ट रूप से अधिकृत खातों को प्रशासन अधिकार हैं; प्रशासन द्वारा दूसरे कारक का हर रीसेट लॉग होता है।

3.5 पृथक्करण नियंत्रण

ग्राहकों का डेटा कार्यस्थान के अनुसार तार्किक रूप से अलग है। साइन इन क्षेत्र का हर पढ़ने और लिखने का पथ इस बंधन को साथ रखता है; रिपोर्टें अपने लिंक से भी सुलभ हैं (खंड 3.4)।
विकास और संचालन अलग स्थापना, अलग डेटाबेस और अलग डेटाबेस उपयोगकर्ताओं से चलते हैं। विकास उपयोगकर्ता को उत्पादन डेटाबेस की पहुँच नहीं है। वास्तविक ग्राहक डेटा विकास में कॉपी नहीं होता; वहाँ जनरेट नमूना डेटा से काम करते हैं।
हर परिवेश के लिए स्कैनर के अपने लॉगिन विवरण हैं, जिनके अधिकार केवल कार्यों के आवश्यक डेटा तक हैं। वह खाते, बिलिंग या लॉग नहीं पढ़ सकता।
वेब सर्वर पर उसी प्रदाता की अन्य सेवाएँ भी चलती हैं। उनके अपने डेटाबेस और डेटाबेस उपयोगकर्ता हैं, जिन्हें इस सेवा के डेटा की पहुँच नहीं है।

4. एन्क्रिप्शन, छद्मनामीकरण और डेटा न्यूनता

4.1 लॉगिन के पीछे स्कैन के लॉगिन विवरण

इस सुविधा के लिए ग्राहक परीक्षण खाते का उपयोगकर्ता नाम और पासवर्ड सहेजता है। ये सेवा के सबसे संवेदनशील डेटा हैं, इसलिए अन्य सभी से अलग सुरक्षित हैं:

सहेजते समय वेब सर्वर इन्हें स्कैन सर्वर की सार्वजनिक कुंजी से एन्क्रिप्ट करता है (ECIES: X25519 के साथ प्रति अभिलेख एकबारगी कुंजी, HKDF-SHA256, AES-256-GCM)। निजी कुंजी केवल स्कैन सर्वर पर है। वेब सर्वर, डेटाबेस और बैकअप में केवल एन्क्रिप्टेड पाठ है; हम भी वहाँ नहीं पढ़ सकते।
हर अभिलेख क्रिप्टोग्राफ़ी से अपने डोमेन से बँधा है। अन्य डोमेन में ले जाने पर डिक्रिप्शन विफल होता है।
स्कैन के लिए एन्क्रिप्टेड पाठ कार्य से जोड़ा जाता है। स्कैन सर्वर डिक्रिप्ट करके लॉगिन विवरण जाँच कंटेनर को केवल मानक इनपुट से देता है, प्रक्रिया सूचियों में दिख सकने वाले कमांड लाइन आर्ग्युमेंट से कभी नहीं। स्कैन सर्वर के पढ़ते ही एन्क्रिप्टेड पाठ कार्य से मिटता है; कोई अवशेष अधिकतम एक घंटे में प्रक्रिया साफ करती है।
लॉगिन विवरण कभी दिखाए, लॉग, API से आउटपुट या निर्यात नहीं किए जाते। इंटरफ़ेस केवल उपयोगकर्ता नाम का पहला अक्षर और लंबाई दिखाता है। हटाने पर एन्क्रिप्टेड पाठ अधिलेखित होता है।
लॉगिन के पीछे स्कैनर केवल पढ़ता है: कोई सबमिशन, सक्रिय परीक्षण, स्क्रीनशॉट या लॉगआउट, मिटाने अथवा रद्द करने के पृष्ठ नहीं।

4.2 अतिरिक्त एन्क्रिप्शन और हैश

पासवर्ड, पुनर्प्राप्ति कोड, क्लाइंट पोर्टल पासवर्ड, API कुंजियाँ, कनेक्शन और रोलआउट कोड, “मुझे साइन इन रखें” टोकन, उपकरण सूची के सत्र ID और पुष्टि तथा रीसेट लिंक केवल हैश में रखे जाते हैं।
दूसरे कारक के गुप्त मान एन्क्रिप्टेड रहते हैं (खंड 3.2)।
हम पूरे संग्रहीत डेटाबेस के एन्क्रिप्शन का दावा नहीं करते। संवेदनशील मान ऊपर बताए अनुसार अलग सुरक्षित हैं।

4.3 बनावट से डेटा न्यूनता

संदेश पहुँचने की जाँच: केवल हेडर और पाठ के अधिकतम शुरुआती 8 KB पढ़ते हैं। डेटाबेस में केवल समय, संबद्धता, जहाँ लागू हो परीक्षण सबमिशन का ID और प्रामाणिकता जाँच का परिणाम (SPF, DKIM, DMARC) आता है, कभी सामग्री या पूरा प्रेषक पता नहीं। सबसे नए ईमेल का प्रामाणिकता परिणाम डोमेन के साथ रखा और अगले से अधिलेखित होता है; उसमें ईमेल पहुँचाने वाले मेल सर्वर का IP पता और प्रेषक का ईमेल डोमेन है। सफल प्रसंस्करण के बाद ईमेल मेलबॉक्स से मिटता है; प्राप्ति या विलोपन विफल हो, तो अगली सफल प्रक्रिया में होता है।
जाँचें: फ़ॉर्म की संरचना फ़ील्ड नाम, प्रकार और लेबल, अनिवार्यता और दृश्यता एट्रिब्यूट सहित सहेजी जाती है, मान नहीं; पहले से भरे छिपे फ़ील्ड के शुरुआती हिस्से (अधिकतम 24 अक्षर) और डेटा एट्रिब्यूट (अधिकतम 60 अक्षर) स्कैनर केवल जाँच में पढ़ता है, सहेजता नहीं। पूर्ण जाँच के स्क्रीनशॉट में जानकारी छिपाई नहीं जाती; केवल ब्राउज़र जाँचों में इनपुट फ़ील्ड ढके रहते हैं। फ़ॉर्म के प्राप्तकर्ता पते केवल डोमेन के रूप में रखे जाते हैं। सक्रिय परीक्षण सबमिशन में केवल चिह्नित परीक्षण पाठ हैं, व्यक्तिगत डेटा नहीं।
WordPress और TYPO3 के एक्सटेंशन केवल दैनिक आँकड़े और प्लगइन सूची जैसी विशेषताएँ भेजते हैं तथा जुड़े WordPress प्लगइन के लिए सामूहिक सुरक्षा हेतु ब्लॉक संदेशों के लिंक डोमेन भी (डिफ़ॉल्ट रूप से चालू); अन्य कोई सामग्री, आगंतुकों के नाम, पते या IP पते नहीं। फ़ॉर्म और फ़ील्ड त्रुटियों की वैकल्पिक गिनती डिफ़ॉल्ट रूप से बंद है।
“Fix it for me”: पेस्ट कोड केवल अनुरोध की अवधि में प्रसंस्कृत होता है और सहेजा नहीं जाता।
बैज: ग्राहक वेबसाइटों की बैज छवि कुकी सेट या सत्र शुरू नहीं करती।
संचालक के फ़ोन की संचालन संबंधी सूचनाएँ बिना परिवर्तनीय अंश के निश्चित पाठ हैं, अर्थात नाम, पते या सामग्री के बिना। संचालक को ईमेल से त्रुटि सूचना में त्रुटि संदेश का कच्चा पाठ होता है, संवेदनशील जानकारी हटाए बिना और 400 अक्षरों तक काटा हुआ; अलग मामलों में उसमें पते या लिंक हो सकते हैं।
सामूहिक सुरक्षा: ग्राहकों के एक्सटेंशन के बीच केवल ब्लॉक स्पैम के लिंक डोमेन साझा होते हैं; IP नेटवर्क का आदान-प्रदान बंद है।
स्थान: IP पते का देश स्थानीय डेटाबेस फ़ाइल से तय होता है; भूस्थान सेवा को कोई पता नहीं जाता।

5. स्कैनर के दुरुपयोग से सुरक्षा

स्कैनर वास्तविक ब्राउज़र से तृतीय पक्ष पृष्ठ लोड करता है। सुरक्षा के बिना यह ऐसा उपकरण होता जिससे बाहर का व्यक्ति हमारे आंतरिक नेटवर्क या अन्य गैर-सार्वजनिक लक्ष्यों तक पहुँच सकता (सर्वर-साइड अनुरोध जालसाज़ी)। इसलिए दो स्वतंत्र परतें और प्रत्येक प्रक्रिया का पृथक्करण है।

5.1 पृथक प्रक्रिया

हर जाँच अपने कंटेनर में चलती है, जो बाद में हटता है। वह प्रशासक अधिकार, अतिरिक्त ऑपरेटिंग सिस्टम क्षमताओं और अधिकार बढ़ाने की संभावना के बिना चलती है। छोटे अस्थायी क्षेत्रों के अतिरिक्त फ़ाइल सिस्टम केवल पढ़ने योग्य है।
मेमोरी, प्रक्रियाओं की संख्या और चलने का समय सीमित हैं; समय पार करने वाली प्रक्रिया समाप्त होती है।

5.2 नेटवर्क: दो परतें

पहली परत, स्कैनर में: स्कैन से पहले और फिर ब्राउज़र के हर अनुरोध, रीडायरेक्ट और एम्बेड सामग्री सहित, के लिए जाँचा जाता है कि पता कहाँ हल होता है। निजी, स्थानीय, आरक्षित और दस्तावेज़ीकरण नेटवर्क (IPv4 और IPv6) तथा सामान्य वेब पोर्ट से अलग पोर्ट अस्वीकार होते हैं। ब्राउज़र सेवा वर्कर की अनुमति नहीं देता और WebSocket कनेक्शन बंद होते हैं, क्योंकि दोनों जाँच दरकिनार कर सकते हैं।
दूसरी परत, नेटवर्क में: कंटेनर अपने नेटवर्क में चलते हैं। फ़ायरवॉल नियम वहाँ से इंटरनेट कनेक्शन केवल वेब पोर्ट पर देते हैं; वेब सर्वर और डेटाबेस वाले हमारे आंतरिक नेटवर्क सहित निजी नेटवर्क को कनेक्शन ब्लॉक हैं। जाँच को आवश्यक अपवाद जरूरत तक सीमित और आंतरिक दस्तावेज़ में वर्णित हैं। नाम पहली जाँच के बाद अलग हल हो तब भी यह परत प्रभावी है।

5.3 वेब सर्वर के अनुरोध

जहाँ वेब सर्वर स्वयं तृतीय पक्ष पते माँगता है, अर्थात डोमेन नियंत्रण प्रमाण, हेडर उपकरण, सार्वजनिक फ़ाइलों की खोज, नियमित फ़ॉर्म स्थिति अनुरोध, RDAP क्वेरी, प्रमाणपत्र जाँच, वेबहुक और चैट अलर्ट तथा वैकल्पिक दूसरे जाँच स्थान के लिए, वही नियम लागू हैं: केवल वेब प्रोटोकॉल, सामान्य वेब पोर्ट पर (वेबहुक और चैट अलर्ट केवल मानक पोर्ट के HTTPS से), केवल सार्वजनिक पते, केवल ठीक उसी पते से कनेक्शन जो पहले जाँचा गया ताकि नाम बाद में आंतरिक लक्ष्य पर न जा सके, रीडायरेक्ट का या बिल्कुल अनुसरण नहीं या हर बार मैन्युअल अनुसरण और पुनः जाँच, छोटी समय सीमाएँ; डोमेन नियंत्रण प्रमाण, नियमित फ़ॉर्म स्थिति अनुरोध और ब्राउज़र जाँच के दूसरे स्थान के लिए सीमित प्रतिक्रिया आकार भी।

5.4 तृतीय पक्ष साइटों पर स्कैनर क्या नहीं करता

ग्राहकों के सक्रिय परीक्षण सबमिशन (प्रति जाँच अधिकतम पाँच) केवल नियंत्रण प्रमाण वाले डोमेन के लिए हैं (DNS, मेटा टैग, फ़ाइल या एक्सटेंशन); एकमात्र अपवाद अपने परीक्षण और डेमो डोमेन की आंतरिक जाँचें हैं। प्रमाण वाले डोमेन का होस्टनाम नहीं बदल सकता, ताकि प्रमाण दूसरे होस्ट को न मिले। बाकी सब निष्क्रिय है: आगंतुक की तरह पृष्ठ पढ़ना।
ब्राउज़र जाँचें सबमिशन के पहले तक जाती हैं और ऑर्डर, भुगतान या सबमिशन नहीं करतीं।
opt-out सूची के डोमेन नहीं जाँचे जाते; चल रही निगरानी अगली निर्धारित जाँच से समाप्त होती है।

6. अखंडता: हस्तांतरण और इनपुट

6.1 परिवहन

एप्लिकेशन इंटरनेट से केवल HTTPS पर उपलब्ध है; ब्राउज़र को एक वर्ष केवल HTTPS उपयोग का निर्देश दिया जाता है (HSTS)। प्रमाणपत्र स्वचालित नवीनीकृत होते हैं।
अतिरिक्त हेडर तृतीय पक्ष पृष्ठों में एप्लिकेशन एम्बेड करने, फ़ाइल प्रकार अनुमान और तृतीय पक्ष लक्ष्य पर फ़ॉर्म जमा करने को सीमित करते हैं। सामग्री सुरक्षा नीति केवल वे स्क्रिप्ट चलने देती है जिन्हें सर्वर संबंधित उत्तर में अनुमति देता है; वर्तमान ब्राउज़र HTML में डाली गई स्क्रिप्ट या इवेंट हैंडलर नहीं चलाते।
संदेश पहुँचने की जाँच मेलबॉक्स प्रमाणपत्र सत्यापन वाले एन्क्रिप्टेड कनेक्शन से प्राप्त होता है।
वेबहुक ग्राहक के गुप्त मान से हस्ताक्षरित हो सकते हैं (समय के साथ HMAC-SHA256), ताकि प्राप्तकर्ता स्रोत और अखंडता जाँच सके। वैकल्पिक दूसरे जाँच स्थान के अनुरोध और ब्राउज़र जाँचों में उनके उत्तर भी हस्ताक्षरित होते हैं।
स्पष्ट जानकारी: हमारे आंतरिक नेटवर्क के सभी कनेक्शन एन्क्रिप्टेड नहीं हैं। लॉगिन के पीछे स्कैन के लॉगिन विवरण पूरे समय एन्क्रिप्टेड रहते हैं (खंड 4.1)।

6.2 इनपुट नियंत्रण और लॉग

खातों और कार्यस्थानों की महत्वपूर्ण क्रियाएँ (जैसे लॉगिन, डोमेन, अलर्ट गंतव्य और अधिकार बदलना, विलोपन, सहायता पहुँच) खाते, समय, IP पते और देश सहित गतिविधि लॉग में दर्ज और 365 दिनों बाद मिटती हैं।
सुरक्षा और दुरुपयोग रोकथाम के पृष्ठ पहुँच अभिलेख 60 दिनों, त्रुटि लॉग 90 दिनों और भेजे ईमेल की सामग्री 30 दिनों बाद मिटती है। अनुरोधित पतों और रेफ़रर के पहुँच टोकन, जैसे रिपोर्ट या पोर्टल लिंक के, पहुँच अभिलेखों में केवल छिपे रूप में आते हैं।
अनुबंध दस्तावेज़ों की स्वीकृति प्रदर्शित संस्करण, उसके चेकसम, समय, IP पते और ब्राउज़र पहचान सहित सहेजी जाती है।
प्रमाण लॉग बाहरी समय-मुद्रांकन प्राधिकरण की समय-मुद्रा से युक्त हो सकते हैं; उसे केवल सामग्री का चेकसम जाता है, स्वयं सामग्री नहीं।

7. उपलब्धता और लचीलापन

7.1 बैकअप

हर रात डेटाबेस का बैकअप बनता है। सामग्री जाँचने के बाद ही उसे अंतिम नाम मिलता है: बैकअप प्रोग्राम की सफल समाप्ति, कम से कम एक अभिलेख, डेटाबेस जितनी तालिकाएँ और पूर्ण प्रक्रिया की अंतिम पंक्ति। पुराना बैकअप नया सफल होने के बाद ही हटता है।
हर बैकअप 14 दिनों बाद मिटता है। भंडारण स्थान उपलब्ध कराई जाने वाली हर निर्देशिका से बाहर है; परियोजना के भीतर का स्थान अस्वीकार होता है।
पुनर्स्थापना परीक्षण: सप्ताह में एक बार नवीनतम बैकअप अस्थायी डेटाबेस में लोड, उत्पादन से तालिका दर तालिका तुलना और फिर मिटाया जाता है। परिणाम सहेजते हैं।
बैकअप या परीक्षण विफल हो, तो ईमेल और संचालक के फ़ोन पर सूचना जाती है।
घटना के बाद पुनर्प्राप्ति: डेटाबेस विफल या डेटा खराब हो, तो नवीनतम परीक्षित बैकअप बहाल करते हैं। उसके बाद के बदलाव, सामान्यतः अधिकतम एक दिन के, खो सकते हैं; बैकअप विफल रहा हो तो तदनुसार अधिक। फिर ज्ञात बाद के विलोपन अनुरोध दोबारा चलाते हैं (खंड 8)। किसी निश्चित पुनर्प्राप्ति समय का वादा नहीं करते।
स्पष्ट सीमा: वर्तमान बैकअप डेटाबेस के उसी स्थान पर हैं और अलग एन्क्रिप्टेड नहीं। वे संचालन त्रुटि, दोषपूर्ण बदलाव और खराब डेटा से बचाते हैं, स्वयं सर्वर की हानि से नहीं। दूसरे स्थान पर एन्क्रिप्टेड प्रति नियोजित है (खंड 10)।
लॉगिन के पीछे स्कैन के विवरण बैकअप में केवल एन्क्रिप्टेड पाठ हैं; दूसरे कारक का गुप्त मान केवल एन्क्रिप्टेड है, कुंजी डेटाबेस के बाहर है।

7.2 निगरानी

स्थिति प्रक्रिया हर पाँच मिनट सेवा घटक जाँचती है, डेटाबेस, कतार और स्कैनर का नियमित रूप से, निष्क्रिय होने पर भी लिखा गया संकेत सहित। घटक विफल हो तो सूचना, बहाल हो तो ठीक होने की सूचना जाती है।
पारस्परिक निगरानी: स्थिति प्रक्रिया अपनी मशीन की विफलता नहीं बता सकती। इसलिए स्कैन सर्वर हर मिनट जाँचता है कि एप्लिकेशन उत्तर देता है और लगातार कई विफलताओं पर निश्चित पाठ संचालक के फ़ोन पर भेजता है। उलटे वेब सर्वर स्कैनर के संकेत की निगरानी करता है; सेटअप सूची दिखाती है कि पारस्परिक निगरानी चल रही है या नहीं।
त्रुटि अलर्ट: पहले कभी न हुई त्रुटि एक बार तुरंत बताई जाती है; त्रुटियों के बढ़ने पर फ़ोन पर एक संकेत ही जाता है; दिन में एक बार अवलोकन भेजते हैं। इससे हमें त्रुटि की पहली जानकारी ग्राहक से नहीं मिलती।
स्पष्ट सीमा: दोनों सर्वर एक स्थान पर हैं। पूरे स्थान की विफलता, जैसे बिजली या इंटरनेट की, कोई अलर्ट व्यवस्था नहीं बताती, मनुष्य पहचानता है।

7.3 बदलाव और तैनाती

नए संस्करण पहले अलग विकास परिवेश में बनते और जाँचे जाते हैं। पहली फ़ाइल लिखने से पहले तैनाती सभी पूर्वापेक्षाएँ जाँचती है, डेटाबेस संरचना बदलती है और स्कैनर के पुनः शुरू होने से पहले चल रही जाँचें व्यवस्थित पूरी होने देती है।
नए ग्राहक के उपयोग पथ के लिए वास्तविक HTTP का स्मोक परीक्षण है जो बदलावों के बाद चलता है। हर तैनाती से पहले स्वचालित परीक्षण समूह का दावा नहीं करते।

8. विलोपन और प्रतिधारण अवधियाँ

हर रात की विलोपन प्रक्रिया गोपनीयता नीति और डेटा प्रसंस्करण समझौता की अवधियाँ लागू करती है। वह वही सेटिंग पढ़ती है जिनसे पाठ के आँकड़े लिए जाते हैं; इसलिए इन अवधियों में पाठ और व्यवहार अलग नहीं होते।
स्क्रीनशॉट सहित जाँच परिणाम 13 महीनों बाद (हर डोमेन का नवीनतम रहता है), एक्सटेंशन आँकड़े 13 महीनों, अलर्ट डिलीवरी लॉग 90 दिनों और सहायता अनुरोध 24 महीनों बाद मिटते हैं।
डोमेन हटने पर उसका डेटा मिटता है, जिसमें जाँचें, फ़ॉर्म, निष्कर्ष, स्क्रीनशॉट, रिपोर्टें, कार्य, अलर्ट गंतव्य और लॉग, घटनाएँ, डिलीवरी डेटा, लॉगिन के पीछे स्कैन के विवरण और प्रमाण शामिल हैं।
खाता तुरंत मिटता है; अन्य सदस्यों के बिना कार्यस्थान डेटा सहित मिटते हैं, अन्य सदस्यों वाले दूसरे सदस्य को मिलते हैं, पहले प्रशासकों को और उनमें सबसे पुराने को। अपनी अवधि पूरी होने तक ये रहते हैं: पुराना खाता क्रमांक रखने वाले लॉग, जो अब मौजूदा खाते का संदर्भ नहीं है, विलोपन प्रविष्टि सहित, तथा भेजे ईमेल, अनुबंध संपन्न होने का प्रमाण, सहायता अनुरोध, संभावित ग्राहक जाँच रिपोर्टें (अधिकतम 90 दिन) और Stripe का बिलिंग डेटा; विवरण गोपनीयता नीति में है।
मिटाया डेटा 14 दिनों बाद बैकअप समाप्त होने तक रहता है। बैकअप के भीतर लक्षित विलोपन नहीं होता; बहाली पर ज्ञात बाद के विलोपन अनुरोध मैन्युअल फिर लागू होते हैं।

9. संगठन और समीक्षा

व्यक्ति: वर्तमान में स्वामी स्वयं सेवा चलाता है। अन्य व्यक्तियों को गोपनीयता वचन के बाद आवश्यक सीमा तक पहुँच मिलती है और वे केवल हमारे निर्देश पर डेटा प्रसंस्कृत करते हैं (Art. 29 और Art. 32(4) GDPR)।
उप-प्रसंस्करणकर्ता: उनकी गारंटियाँ जाँचने और Art. 28(4) GDPR का अनुबंध करने के बाद ही नियुक्त करते हैं और उप-प्रसंस्करणकर्ता पृष्ठ पर सूचीबद्ध करते हैं; विवरण डेटा प्रसंस्करण समझौता से शासित हैं।
व्यक्तिगत डेटा उल्लंघन: प्रसंस्करणकर्ता डेटा प्रभावित हो, तो ग्राहक को बिना अनुचित देरी के, संभव हो तो 48 घंटों में बताते हैं; विवरण डेटा प्रसंस्करण समझौता से शासित हैं।
खामी रिपोर्ट: सुरक्षा और फ़ाइल /.well-known/security.txt से रिपोर्ट स्वीकार करते हैं।
सेटअप और आरंभ सूची: प्रशासन क्षेत्र की सूची बैकअप, बिना दूसरे कारक प्रशासक, मेल सेटअप और नियमित संकेत जैसी सुरक्षा सेटिंग की स्थिति मापकर अंतर दिखाती है।
इन उपायों की समीक्षा (Art. 32(1)(d) GDPR): सेवा के हर महत्वपूर्ण बदलाव, हर सुरक्षा घटना के बाद और अन्यथा कम से कम साल में एक बार। इसमें मूल्यांकन करते हैं कि उपाय प्रभावी और जोखिमों के अनुकूल हैं या नहीं तथा परिणाम इस पृष्ठ के नए संस्करण में, या बदलाव न हो तो खंड 11 में समीक्षा तिथि सहित दर्ज करते हैं। सेटअप और आरंभ सूची अपने अंतर्गत सेटिंग की स्थिति लगातार मापती है।
बाहरी ऑडिट: वर्तमान में बाहरी पैठ परीक्षण नियुक्त नहीं हैं और सुरक्षा प्रमाणन नहीं हैं। यह इसलिए बताया है ताकि कोई उनकी धारणा न बनाए।

10. नियोजित, अभी लागू नहीं

नए संस्करण में लागू बताए जाने तक ये प्रतिबद्ध उपाय नहीं हैं:

दूसरे स्थान पर बैकअप: सर्वर के बाहर रात्रिकालीन बैकअप की एन्क्रिप्टेड प्रति ताकि पूरे सर्वर की हानि पर भी डेटा न खोए।
दूसरा जाँच स्थान: दूसरे स्थान से ब्राउज़र जाँचों की स्वतंत्र पुष्टि सेवा में तैयार है, स्थापित नहीं। उसके बिना दूसरे स्थान की पुष्टि नहीं होती।
सर्वर प्रशासन की सुरक्षा बढ़ाना: यह जारी है। खंड 1 के कारण विवरण प्रकाशित नहीं करते।

11. स्थिति और संस्करण

संस्करण 1.1 · अंतिम अद्यतन: 22 अक्टूबर 2026 · भाषा संस्करणों में विसंगति पर जर्मन के बजाय पोलिश प्रामाणिक है; अन्य बदलाव नहीं।
संस्करण 1.0 · अंतिम अद्यतन: 11 अक्टूबर 2026 · अलग पृष्ठ के रूप में पहला संस्करण; पहले डेटा प्रसंस्करण समझौते का अनुलग्नक 2। पिछले अनुलग्नक की तुलना में सुधार: पुनर्स्थापना परीक्षण साप्ताहिक है, बैकअप उसी सर्वर पर हैं, हर तैनाती से पहले स्वचालित परीक्षण समूह नहीं चलता, आंतरिक नेटवर्क के सभी कनेक्शन एन्क्रिप्टेड नहीं। नया वर्णन: लॉगिन के पीछे स्कैन के विवरण का एन्क्रिप्शन, स्कैनर का पृथक्करण, पारस्परिक निगरानी और त्रुटि अलर्ट।
बदलाव नई संस्करण संख्या के साथ यहाँ और अनुबंध दस्तावेज़ों में बदलाव के अवलोकन में प्रकाशित होते हैं; उपाय कमजोर होने पर डेटा प्रसंस्करण समझौते की सूचना अवधि लागू है।
भाषा संस्करणों की विसंगति पर पोलिश प्रामाणिक है।

हम कैसे मदद कर सकते हैं?