Безопасность

Аутентификация

Каждый вход — пароль плюс второй фактор. WebAuthn passkey (аппаратные или платформенные) обязательны для ролей owner/admin. Сессии хранятся в БД и могут отзываться по отдельности.

Step-up аутентификация

Чувствительные действия (ротация секрета вебхука, выводы средств, добавление новой passkey) требуют дополнительного WebAuthn-челленджа. Ни одно критическое действие не выполняется без аппаратного подтверждения.

Шифрование

Везде TLS 1.3. Данные в покое шифруются AES-256-GCM. Ключи живут в HashiCorp Vault на нашем bare-metal стеке. Ротация раз в квартал, аудит ежегодно.

Подписанные вебхуки

HMAC-SHA256 по сырому телу запроса. Anti-replay timestamp. Ротация секрета в один клик с grace period 24 ч. Экспоненциальные повторы (5 попыток за 24 ч), очередь dead-letter с инспектором в бэкофисе.

Инфраструктура

Bare-metal во Франции (HostMyServers — дата-центры в Лионе, Париже и Анси). Мультиоператорная сеть 10 Гбит/с, защита от DDoS, SLA 99,99 %. Без облаков США, без AWS, без GCP. Ноль зависимостей от иностранных провайдеров.

Программа bug bounty

Мы поощряем ответственное раскрытие уязвимостей. Сообщите об уязвимости на security@abyxo.app, и мы вернёмся к вам со скоупом, правилами и размером вознаграждения за ваш отчёт.

Аудиты

• Ежегодный внешний пентест (Synacktiv).
• SOC 2 Type II — аудит Q4 2026.
• Аудит Halborn — gRPC runtime adapter.