Безопасность
Ваши данные под контролем
Здесь перечислено, что именно защищает ваш аккаунт, ваши файлы и вашу переписку. Только те меры, которые действительно работают — без сертификатов, которых у нас нет.
Обновлено
Вход и сессии
Чем подписан ваш вход, как устроен второй фактор и что происходит, когда сессию нужно отозвать.
К разделу →Передача и хранение данных
Как данные идут по сети, где лежат файлы и что из загруженного вообще не сохраняется.
К разделу →Код и цепочка поставок
Что обязано пройти изменение, прежде чем оно окажется в продакшене.
К разделу →Провайдеры и ваши данные
Что уходит к моделям, что не уходит никогда и чем это ограничено технически.
К разделу →Доступ
Вход и сессии
Чем подписан ваш вход, как устроен второй фактор и что происходит, когда сессию нужно отозвать.
- Пароли
- Пароли хранятся как хэши PBKDF2-HMAC-SHA256 с индивидуальной солью. При входе сервер обрабатывает введённый пароль для проверки; хранение исходного пароля не требуется.
- Двухфакторная аутентификация
- TOTP по стандарту RFC 6238 — подходит любое приложение-аутентификатор. К нему выдаются резервные коды на случай потери телефона; каждый срабатывает ровно один раз.
- Passkeys
- WebAuthn позволяет входить ключом устройства. Закрытый ключ остаётся у вас; сервер проверяет подписанный ответ и предусмотренные аутентификатором сведения.
- Сессия
- Сессионная cookie подписана и защищена HttpOnly; при HTTPS используется Secure. Параметры SameSite зависят от поверхности: для Telegram Mini App предусмотрены отдельные настройки.
- Отзыв всех сессий
- У аккаунта есть версия сессии. Смена и сброс пароля, «выйти на всех устройствах» и удаление аккаунта увеличивают её — и все ранее выданные cookie мгновенно перестают приниматься. Обычный выход завершает только текущую сессию и чужие устройства не трогает.
- Защита от перебора
- Ограничение частоты на каждой ручке входа плюс блокировка по аккаунту после нескольких неудач подряд — она не привязана к IP, поэтому ротация адресов её не обходит. Passkey, OAuth и Telegram под неё не попадают: способ вернуться в свой аккаунт остаётся всегда.
- Разделение ключей подписи
- У сессии, подтверждения второго фактора, челленджа passkey и связки с ботом — разные производные ключи. Токен одного назначения не пройдёт проверку другого; это отдельно закреплено тестами.
- Оповещения о смене доступа
- Смена пароля, включение и выключение второго фактора, добавление и удаление passkey уведомляют владельца аккаунта сразу в двух каналах — в интерфейсе и в Telegram, с указанием IP. Отключить их нельзя: тихий захват аккаунта не должен быть настраиваемым.
- Журнал событий безопасности
- Входы и неудачные попытки, блокировки, действия со вторым фактором и любые операторские изменения аккаунта пишутся отдельными записями с IP и User-Agent.
Инфраструктура
Передача и хранение данных
Как данные идут по сети, где лежат файлы и что из загруженного вообще не сохраняется.
- Шифрование канала
- Весь трафик идёт только по TLS. На https-ответах ставится HSTS сроком на год, включая поддомены, — браузер перестаёт даже пробовать открыть сайт по незащищённому протоколу.
- Заголовки безопасности
- Заголовки безопасности и Content-Security-Policy задаются централизованно. Для Telegram Mini App предусмотрены отдельные правила встраивания; доступ к возможностям браузера ограничивается по поверхности.
- Приватное файловое хранилище
- Доступ к закрытым файлам проверяется; для части загрузок используются временные подписанные ссылки. Аватары, публичные ссылки и опубликованные работы имеют отдельные публичные маршруты.
- Минимизация загруженного
- Из документа извлекается текст для обработки. Временные загрузки чата имеют 30-дневное окно доступности; оно не распространяется на аватары и долговечные генерации. Физическое удаление зависит от хранилища.
- Изоляция сервисов
- Сервисы разделены и ограничены по ресурсам; база может размещаться отдельно. Лимиты снижают риск взаимного влияния, но не гарантируют независимость всех отказов.
- Проверка загружаемых изображений
- Тип файла определяется по его содержимому, а не по расширению и не по тому, что сообщил браузер: переименованный в .png исполняемый файл аватаром не станет.
- Валидация на границе
- Поля, которые запрос вправе изменить, перечислены явным списком — «лишнее» поле в теле запроса игнорируется, а не применяется. Пути к файлам нормализуются, внешние ссылки проверяются по схеме.
- Резервные копии
- Дамп базы снимается перед каждой раскаткой, так что у любого обновления есть точка возврата. Скрипт регулярного бэкапа с ротацией входит в поставку и включается на стороне сервера.
Разработка
Код и цепочка поставок
Что обязано пройти изменение, прежде чем оно окажется в продакшене.
- Блокирующий гейт на изменения
- В поставке предусмотрены тесты, линтеры, сборка и проверки зависимостей. Результаты конкретного выпуска подтверждаются его прогоном CI; эта страница не заменяет проверку статуса выпуска.
- Аудит зависимостей
- Автоматические проверки зависимостей помогают выявлять известные уязвимости. Они не гарантируют обнаружение всех проблем или немедленное обновление каждого пакета.
- Тесты-сторожа на инварианты
- Часть тестов проверяет не результат, а нарушение правила: тяжёлый синхронный вызов внутри асинхронного кода, расхождение в графе миграций, таблица, забытая в реестре слияния аккаунтов. Такие ошибки не проявляются на глаз и стоят дорого.
- Секреты вне репозитория
- Ключи и продовое окружение в коде не хранятся. В продакшене отсутствие ключа подписи сессий — не предупреждение в логе, а отказ приложения стартовать.
- Платёжные данные
- Карта вводится на странице платёжного провайдера, а не у нас. Номера карт к нам не попадают, и хранить нам их нечего.
Модели
Провайдеры и ваши данные
Что уходит к моделям, что не уходит никогда и чем это ограничено технически.
- Обучение и хранение у провайдеров
- OpenLearn не обучает собственные модели на переписке. Условия внешних провайдеров и настройки маршрутов различаются; универсальный запрет обучения и нулевое хранение не гарантируются.
- Без продажи данных
- Переписка передаётся AI-поставщикам для выполнения запросов. Получатели и цели описаны в Политике; такая передача не означает анонимность данных.
- Выключатель модели
- Любая модель отключается оператором мгновенно: она исчезает из каталога и из выбора в композере, а не просто перестаёт отвечать где-то в глубине.
- Единый ключ платформы
- Для AI используются ключи платформы. Вместе с содержимым могут передаваться технические идентификаторы пользователя и запроса, память и персональные инструкции; несвязываемость с человеком не гарантируется.
Суб-процессоры
Кому и зачем передаются данные
Данные передаются для выбранных функций. Категории ниже не являются закрытым реестром юридических лиц и стран; подробности — в Политике.
| Процессор | Что передаётся и зачем | Расположение данных |
|---|---|---|
| OpenRouterAI | Маршрутизация AI-запросов, включая распознавание и синтез речи | Зарубежная обработка; зависит от маршрута |
| Поставщики моделейAI | Содержимое запросов, контекст, вложения и технические ID для результата | Зависит от конечного обработчика |
| Платёжные провайдерыПлатежи | Сумма, валюта и ID операции; способы из каталога оплаты | Зависит от выбранного способа |
| ResendEmail | Адрес и содержание сервисных писем; реклама с согласием | Зарубежная доставка |
| Timeweb CloudИнфра | Приложение, база, файлы и резервные копии | Основное размещение — РФ |
| Внешний вход и TelegramИнфра | Профиль при входе; сообщения при использовании бота/Mini App | По условиям выбранного сервиса |
| Поиск и сетевые посредникиИнфра | Поисковые запросы, чтение страниц и передача внешних API | Зависит от маршрута и подрядчиков |
Соответствие
Регуляторы и права пользователей
Европейский союз
Обращения о доступе, исправлении, удалении и экспорте принимаются поддержкой. Применимость GDPR и дополнительные процедуры оцениваются отдельно; сертификация соответствия не заявляется.
Российская Федерация
Порядок обработки и права по российскому законодательству описаны в Политике. Эта страница сама по себе не подтверждает уведомления регулятору или законность всех передач.
Калифорния, США
Сведения о сборе и получателях приведены в Политике. Применимость законодательства Калифорнии оценивается отдельно; безусловное соответствие CCPA не заявляется.
Жизненный цикл данных
Что хранится и как удалить
- История чатовХранится в вашем аккаунте, пока вы её не удалите. Можно стереть любой чат вручную.
- Загруженные файлыДля временных загрузок чата предусмотрено окно доступности до 30 дней. Извлечённый текст и долговечные файлы хранятся отдельно; физическое удаление зависит от правил хранилища.
- АватарыХранятся отдельно от временных загрузок. Заменить или убрать аватар можно в настройках; деактивация аккаунта не подтверждает удаление файла.
- Удаление аккаунтаУдаление помечает аккаунт удалённым и завершает текущую сессию. Это не подтверждение физического стирания всех данных, резервных копий и публикаций. По вопросам удаления обращайтесь в поддержку.
Уязвимости
Нашли проблему — напишите
Сообщения об уязвимостях мы разбираем в первую очередь и отвечаем на каждое.
Приложите, пожалуйста, шаги воспроизведения, и дайте нам время закрыть находку до публикации. Программы выплат у нас нет — но мы ответим и расскажем, что сделали.
Вопросы о приватности?
Прочитайте полную политику или напишите нам — ответим по существу.