Вы доверяете нам доступ к кабинету Ozon и Wildberries. Ниже — как именно мы это защищаем, честно и по пунктам. В конце — независимые сканеры, которыми вы можете проверить нас сами.
По умолчанию вы выдаёте API-ключ с правами только на чтение. Сервис видит статистику, но не может распоряжаться деньгами или товаром. Отозвать ключ можно в любой момент в кабинете Ozon/WB — доступ мгновенно пропадёт.
API-ключи маркетплейсов хранятся в зашифрованном виде (Fernet / AES). Ключ шифрования лежит в защищённом окружении сервера — не в базе и не в коде. Даже при доступе к базе прочитать ваши ключи нельзя.
Каждый видит только свой кабинет. Технически невозможно подставить чужой идентификатор и прочитать чужие данные — сервер проверяет принадлежность на каждом запросе.
Пароли не хранятся в открытом виде — только необратимый хэш (PBKDF2 с индивидуальной солью). Сессии подписаны и имеют срок жизни. Вход защищён от перебора.
Весь трафик — по HTTPS с действующим сертификатом (Let's Encrypt). HTTP принудительно переводится на HTTPS, включён HSTS и защита от встраивания и подмены типа контента.
Приём оплаты — через ЮKassa. Данные банковских карт мы не видим и не храним — их обрабатывает платёжный провайдер. Чеки — по 54-ФЗ.
Независимые публичные сервисы — оценивают защиту сайта без нашего участия:
Мы обрабатываем данные в соответствии с 152-ФЗ. Что собираем, зачем, как храним и как удалить — в Политике обработки персональных данных. Условия использования — в Оферте.
Напишите нам на ruhlik34@gmail.com — разберёмся быстро и поблагодарим. Пожалуйста, не раскрывайте уязвимость публично до того, как мы её закроем.