Безопасность и контроль данных

Что действует в публичной версии

• RUFAME не принимает и не хранит деньги или ценные бумаги;
• системные каталоги закрываются на уровне OpenResty;
• форма использует CSRF-токен, подготовленные SQL-запросы и ограничение повторных отправок;
• приём персональных данных по умолчанию разрешён только через HTTPS.

Разделение публичной и закрытой частей

Публичный лендинг не подключается к данным закрытой части. Защищённый контур использует собственную авторизацию, проверку статуса пользователя, ограничение сессии и журнал событий входа.

Операции и подтверждение

RUFAME не является брокером. Действия, связанные с фактическим исполнением инвестиционных решений, требуют явного подтверждения пользователя и не выполняются публичной страницей или RUFAME автоматически.

Что действует в защищённом контуре

• bcrypt-хеширование паролей и ограничение попыток входа;
• автоматическое завершение неактивных сессий;
• проверка статуса и версии авторизации пользователя;
• журнал успешных и неуспешных входов;
• роли только для просмотра, пользователя, профессионала и администратора;
• административная панель с CSRF-защитой и отзывом сессий;
• журнал административных действий без паролей и токенов.

Что будет добавлено

• двухфакторная авторизация для администраторов;
• дальнейшее усиление резервного копирования и контроля целостности;
• расширение средств наблюдаемости и аудита по мере развития продукта.

Честные ограничения

Ни одна система не может гарантировать абсолютную защиту, непрерывную работу или инвестиционную доходность. Сообщения об уязвимостях можно направлять на security@rufame.com без публикации чувствительных данных.