Политика информационной безопасности

1. Цели и область действия

Политика распространяется на сайт planner-go.ru, личный кабинет, API Сервиса и серверную инфраструктуру. Её цель — обеспечить конфиденциальность, целостность и доступность данных пользователей: учётных записей, подключённых соцсетей, публикаций и сведений об оплатах.

2. Принципы

• Минимизация — собираем только данные, без которых Сервис не работает.
• Минимальные привилегии — каждый компонент и сотрудник получает только необходимый доступ.
• Шифрование — секреты не хранятся и не передаются в открытом виде.
• Недоверие к входным данным — каждый запрос проверяется на сервере.
• Прозрачность — об инцидентах сообщаем пользователям и Роскомнадзору.

3. Передача данных

• Сайт и API работают только по HTTPS; HTTP-запросы перенаправляются на HTTPS.
• Включён HSTS (Strict-Transport-Security, 1 год, включая поддомены) — браузер не откроет сайт без шифрования.
• С соцсетями и ЮKassa Сервис обменивается данными только по защищённым соединениям.

4. Аккаунты и пароли

• Пароли хранятся только в виде хеша bcrypt (cost 12); восстановить пароль из хеша нельзя — даже нам.
• Требования к паролю: от 8 символов, буквы и цифры.
• Попытки входа, регистрации и восстановления пароля ограничены по частоте — это защищает от подбора паролей.
• Сессия хранится в cookie с флагами HttpOnly, Secure и SameSite и подписана на сервере. После смены пароля все прежние сессии становятся недействительными.
• Ссылка для восстановления пароля одноразовая и действует 30 минут.

5. Токены соцсетей

• Соцсети подключаются по официальным протоколам авторизации (OAuth) или через официального бота: Сервис никогда не запрашивает ваши логины и пароли от соцсетей.
• Токены доступа шифруются алгоритмом AES-256-GCM; ключ хранится только на сервере. Токены не передаются в браузер и не показываются даже администратору.
• Запросы подключения защищены одноразовым параметром state и PKCE: перехватить чужое подключение нельзя.
• При отключении аккаунта в кабинете его токен удаляется.

6. Защита веб-приложения

• Защита от CSRF: изменяющие запросы принимаются только со страниц самого Сервиса (проверка Origin).
• Content Security Policy ограничивает источники скриптов; запрещено встраивание сайта в чужие фреймы.
• Размер и формат всех входящих запросов проверяются; доступ к данным другого пользователя исключён проверкой владельца на сервере.
• Уведомления от соцсетей и платёжной системы принимаются только с секретной подписью и перепроверяются.

7. Платежи

• Данные банковской карты вводятся на платёжной странице ЮKassa, сертифицированной по стандарту PCI DSS. Сервис не получает и не хранит номер карты и CVC.
• Статус и сумма каждого платежа перепроверяются прямым запросом к ЮKassa; повторное зачисление невозможно.

8. Файлы и видео

• Загруженные файлы хранятся отдельно для каждого пользователя и доступны только владельцу.
• Принимаются только разрешённые форматы; действует лимит размера и квота на пользователя.
• Видео обрабатывается на сервере в изолированном режиме с белым списком форматов, метаданные файла удаляются.

9. Доступ и хранение

• Серверы и базы данных находятся в России (г. Москва).
• Файлы данных доступны только служебной учётной записи приложения.
• Административный доступ есть только у супер-администратора; его учётные данные задаются в защищённых настройках сервера и не хранятся в исходном коде.
• Ключи и секреты хранятся отдельно от кода и не попадают в журналы.
• Обновления безопасности зависимостей и операционной системы устанавливаются регулярно.

10. Реагирование на инциденты

1. Инцидент локализуется: блокируется источник, при необходимости отзываются токены и сессии.
2. Если затронуты персональные данные, Роскомнадзор уведомляется в течение 24 часов, а о результатах расследования — в течение 72 часов (ч. 3.1 ст. 21 152-ФЗ).
3. Пострадавшие пользователи получают уведомление с описанием произошедшего и рекомендациями.
4. По итогам разбора принимаются меры, исключающие повторение.

11. Сообщить об уязвимости

Если вы нашли уязвимость, сообщите нам по email info@imperiumloft.ru или письмом по адресу: 119297, г. Москва, вн.тер.г. муниципальный округ Солнцево, кв-л 32, д. 16, стр. 2 с пометкой «Безопасность». Опишите шаги воспроизведения. Мы ответим в течение 5 рабочих дней и не будем предъявлять претензий за добросовестное исследование, если вы не получали доступ к чужим данным, не нарушали работу Сервиса и не раскрывали уязвимость публично до её устранения. Контакты также опубликованы в security.txt.

12. Рекомендации пользователям

• Используйте для Planner GO уникальный пароль, который не применяется на других сайтах.
• Включите двухфакторную защиту в подключаемых соцсетях.
• Не передавайте никому ссылки на подключение бота и ссылки восстановления пароля.
• Выходите из кабинета на чужих устройствах.
• Если заметили подозрительную публикацию — отключите аккаунт в разделе «Аккаунты» и напишите нам.