Bugzio
Palvelimet Euroopan unionissa
Sovellus, tietokanta ja ladatut tiedostot toimivat Hetzner Online GmbH:n palvelimilla Saksassa. Varmuuskopiot pysyvät samalla lainkäyttöalueella.
Luottamus ja vaatimustenmukaisuus
Tietoturva
Tämä sivu on sille, joka kysyy ennen sopimuksen allekirjoittamista: minne asiakkaidemme tiedot päätyvät? Jokainen väite tällä sivulla on tarkistettavissa — ja se, mitä emme vielä voi väittää, on kirjoitettu yhtä suoraan kuin kaikki muukin.
Palvelimet EU:ssa — Saksassa
HTTPS kaikessa liikenteessä
Salasanat vain tiivisteinä
Vastuullinen haavoittuvuusilmoitus
Ei maksukorttia · Data EU:ssa · Rajattomasti ilmoittajia
Infrastruktuuri
Missä data on ja miten se liikkuu
Yhtään kopiota datasta ei säilytetä Euroopan unionin ulkopuolella lukuun ottamatta niitä toimittajia, jotka on nimeltä mainittu tietosuojaselosteessa.
HTTPS kaikkialla
Vimpain, paneeli, API ja julkiset sivut toimivat vain TLS:n yli. HTTP-pyyntö ohjataan HTTPS:ään, ja HSTS pakottaa selaimen menemään seuraavalla kerralla suoraan HTTPS:ään.
Cloudflare edessä
CDN, DNS sekä suojaus DDoS-hyökkäyksiä ja botteja vastaan. Siellä myös TLS-yhteys päätetään. Kävijän oikea IP-osoite palautetaan palvelimella, jotta IP-kohtaiset rajat toimivat oikein.
Vastausotsakkeet
Mitä sovellus itse lähettää
Nämä otsakkeet tulevat sovelluskoodista, eivät yhden palvelimen asetustiedostosta. Siksi vastaus on sama joka ympäristössä — kehityksessä, testissä ja tuotannossa.
| Otsake | Arvo | Mitä se tekee |
|---|---|---|
| Content-Security-Policy | default-src 'self'; … | Julkisilla sivuilla skriptit, tyylit, fontit ja kuvat tulevat omalta verkkotunnukseltamme. Ulkopuolinen lähde on sallittu vain analytiikalle — Google Analytics 4, joka ei mittaa mitään ennen evästeiden hyväksymistä ja on kuvattu evästekäytännössä. Sivun sisäiset skriptit allekirjoitetaan pyyntökohtaisella noncella, eikä style-src sisällä unsafe-inlineä — juuri siksi näillä sivuilla ei ole yhtään style-attribuuttia. Arvo-sarakkeessa näkyy ensimmäinen direktiivi; koko listan palauttaa otsake itse. |
| X-Frame-Options | SAMEORIGIN | Sivua ei voi laittaa vieraaseen kehykseen, joten kukaan ei voi asettaa päälle läpinäkyvää kerrosta ja houkutella kävijää painamaan nappia. Poikkeuksena ovat vimpain ja julkiset jakolinkit, jotka asiakas upottaa sivulleen tarkoituksella. |
| Permissions-Policy | camera=(), microphone=(), geolocation=(), payment=(), usb=() | Selaimelta otetaan pois rajapinnat, joita palvelu ei tarvitse: kamera, mikrofoni, sijainti, maksut ja USB. |
| X-Content-Type-Options | nosniff | Selain ei arvaa tiedoston tyyppiä sisällön perusteella — ladattu tiedosto ei voi muuttua suoritettavaksi skriptiksi. |
| Referrer-Policy | strict-origin-when-cross-origin | Vieraalle sivustolle välitetään vain verkkotunnus, ei koko URL-osoitetta parametreineen. |
| Cross-Origin-Opener-Policy | same-origin | Julkiset sivut eristetään selainprosessissa niistä ikkunoista, jotka avasivat ne. |
| Strict-Transport-Security | max-age | Tulee Cloudflarelta, ei sovelluskoodista. Se on tietoinen valinta: koodista asetettu includeSubDomains voisi lukita ulos aliverkkotunnuksen, joka ei vielä toimi pelkän HTTPS:n varassa. |
Tarkista itse: avaa mikä tahansa tämän sivuston sivu selaimen kehittäjätyökaluilla ja katso vastausotsakkeet. Täsmälleen saman tekee tietoturvaskannerimme asiakkaiden sivustoilla.
Tilit ja pääsy
Kuka pääsee paneeliin
Kuusi asiaa, jotka on ohjelmoitu, ei luvattu.
Data
Mitä vimpain kerää — ja mitä ei
Vikailmoituksen sisältö kuuluu sinulle; me olemme käsittelijä. Tässä on tarkka lista siitä, mitä yhteen vikailmoitukseen päätyy.
Päätyy vikailmoitukseen Kerätään
- Ilmoittajan kirjoittama otsikko, kuvaus ja sähköposti, jos hän antaa sen.
- Kuvakaappaus juuri sellaisena kuin ilmoittaja sen jättää — nuolineen, korostuksineen ja sumennettuine kenttineen.
- Selainkonsolin loki ja käsittelemättömät JavaScript-virheet kutsupinoineen.
- Epäonnistuneet verkkopyynnöt: metodi, osoite, tilakoodi ja kesto.
- Sivun URL, selain ja sen versio, käyttöjärjestelmä, näytön ja ikkunan koko, aikavyöhyke ja kieli.
- Ruutuvideo ja ääniviesti, jos ilmoittaja tallentaa ne — tallennus alkaa vasta hänen vahvistuksellaan ja vain siellä, missä paketti sen sallii.
- Istunnon toisto: noin 20 viimeistä sekuntia sivun tapahtumia ennen vikailmoitusta, jos ominaisuus on projektissa käytössä.
Oletuksena säilytetään enintään 120 viimeisintä diagnostiikkariviä — juuri sen verran kuin virheen toistaminen vaatii.
Ei päädy vikailmoitukseen Ei kerätä
- Verkkopyyntöjen ja -vastausten sisältö. Talteen jää vain metatieto — mitä kutsuttiin ja millä tuloksella.
- Evästeitä, paikallista tallennustilaa tai valtuutustunnisteita ei lueta eikä lähetetä.
- Käsittelemätön, sumentamaton kuvakaappaus. Palvelimelle päätyy vain se kuva, jonka ilmoittaja näki ja hyväksyi.
- Rehellinen varoitus: konsoliloki tallennetaan sellaisena kuin se on. Jos sivusi tulostaa konsoliin arkaluonteista tietoa, se päätyy vikailmoitukseen — tämä kannattaa tarkistaa ennen vimpaimen käyttöönottoa.
Säilytettävien diagnostiikkarivien määrää voi pienentää vimpaimen asetuksella data-diagnostics-limit.
Sumennustyökalu
Ennen lähettämistä ilmoittaja voi sumentaa mistä tahansa kuvakaappauksen kohdasta — asiakkaan nimen, laskun summan, henkilötunnuksen. Sumennus tapahtuu selaimessa, itse kuvaan, ennen lähettämistä: alkuperäinen ei koskaan poistu laitteelta. Sumennus pikselöi alueen ensin ja pehmentää vasta sitten, joten pienikään teksti ei ole enää luettavissa.
Säilytys
Kuinka kauan tietoja säilytetään
Säilytysajat kuuluvat pakettiin ja astuvat voimaan automaattisesti. Luvut tulevat samasta pakettiluettelosta, jolla sovellus itse toimii.
| Paketti | Vikailmoitusten säilytys | Valvontahistoria |
|---|---|---|
| Solo | 90 päivää | 30 päivää |
| Starter | 365 päivää | 30 päivää |
| Studio | Rajoittamaton | 365 päivää |
| Agency · Enterprise | Rajoittamaton | Rajoittamaton |
Alikäsittelijät
Täydellinen lista — mikä toimittaja, mihin tarkoitukseen ja millä lainkäyttöalueella — on tietosuojaselosteessa. Pidämme sen yhdessä paikassa tarkoituksella: kaksi listaa alkaa ennemmin tai myöhemmin erota toisistaan, ja juuri se huomataan auditoinnissa.
Löysitkö haavoittuvuuden?
Kirjoita osoitteeseen [email protected]. Vahvistamme vastaanoton, tutkimme asian ja kerromme, kun korjaus on julkaistu.
Pyydämme, ettet julkaise yksityiskohtia ennen kuin korjaus on valmis, etkä testaa tavalla, joka voisi vaikuttaa muiden asiakkaiden tietoihin tai palvelun saatavuuteen. Rahallista palkkio-ohjelmaa meillä ei toistaiseksi ole.
Rehellisesti
Mitä emme vielä voi väittää
Tämä osio on olemassa siksi, että epämääräinen lause hankintakyselyssä maksaa enemmän kuin selkeä ”ei vielä”. Jos jokin näistä on sinulle ehdoton vaatimus, se on parempi tietää nyt kuin kolmen palaverin päästä.
Ei SOC 2 -sertifiointia
Meillä ei ole SOC 2 Type I- eikä Type II -raporttia, emmekä ole käyneet läpi sellaista auditointia. Jos se on hankintavaatimuksesi, emme täytä sitä tänään.
Ei ISO 27001:tä
Sertifikaattia ei ole, emmekä väitä olevamme ”ISO 27001 -yhteensopivia”. Ilman sertifikaattia tuo lause ei tarkoita mitään.
Ei riippumatonta tunkeutumistestiä
Emme tarjoa julkista pentest-raporttia. Oma tietoturvaskannerimme tarkistaa myös oman sivustomme, mutta se ei ole riippumaton auditointi emmekä kutsu sitä sellaiseksi.
Ei kaksivaiheista tunnistautumista
Paneelissa on toistaiseksi vain salasana. Kaksivaiheinen kirjautuminen on suunnitelmissa, mutta ennen kuin se on olemassa, emme kirjoita sitä ominaisuuslistaan.
Ei sopimussakkoa katkoista
Saatavuustavoite ja lupaus ilmoittaa suunnitelluista töistä vähintään 24 tuntia etukäteen on kirjattu käyttöehtoihin; korvausmekanismi on olemassa vain erillisessä Enterprise-sopimuksessa. Julkisesti mitattua sopimussakollista SLA:ta emme tarjoa.
Ei datan sijaintialueen valintaa
Kaikki asiakkaat ovat samassa EU-infrastruktuurissa Saksassa. Toisen alueen tai oman erillisen instanssin valitseminen ei ole tällä hetkellä mahdollista.
Juridinen osuus
Dokumentit
Juridinen osuus kokonaisuudessaan — juuri se, mitä lakimiehesi pyytää sopimuksen liitteeksi.
Pitääkö täyttää tietoturvakysely?
Lähetä oma kyselysi tai kysymyslistasi. Vastaamme samalla rehellisyydellä kuin tällä sivulla — ja siellä missä vastaus on ei, kirjoitamme ei.
Tietoturva-asiat: [email protected]