Безпека

Тут описано, як Saybuild захищає ваші дані, сайти й гроші. Окремо вказуємо й те, чого поки немає. Ця сторінка є описом заходів у розумінні статті 24 Закону України «Про захист персональних даних» і частиною Договору публічної оферти як опис поточного стану заходів. Опис оновлюється в міру розвитку Сервісу; Виконавець підтримує рівень захисту не нижчий за описаний або рівноцінний. Жодні заходи не гарантують абсолютної відсутності вразливостей.

1. Облікові записи та вхід

• Паролі зберігаються лише у вигляді незворотного хешу bcrypt (фактор 11). Ми не можемо побачити ваш пароль; відновлення — лише через одноразове посилання на пошту, яке діє годину й гаситься після використання.
• Сесії: токен сесії — 256 біт випадковості, у базі зберігається лише його SHA-256-хеш; cookie — httpOnly, Secure, SameSite=Lax, 30 днів. Зміна пароля завершує всі інші сесії.
• Двофакторний вхід (за бажанням, «Акаунт»): після пароля чи Google — 6 цифр із застосунку-аутентифікатора (TOTP, RFC 6238). Секрет зберігається зашифрованим (AES-256-GCM), кожен код приймається лише раз, на введення — 10 хвилин і 5 спроб; 10 одноразових запасних кодів зберігаються лише як хеші. Увімкнення завершує всі інші сесії.
• Вхід через Google і Telegram перевіряється криптографічно (підпис OpenID-токена; HMAC initData Telegram з одноразовим використанням і вікном дійсності 1 година).
• Захист від перебору: ліміти спроб входу на IP і на пару «акаунт + IP», реєстрацій, запитів на відновлення пароля, активації кодів, паролів сайтів — у базі, тобто спільні для всіх серверів.
• Захист від підміни запиту (CSRF): форми входу приймають лише JSON із того самого сайту; cookie SameSite.
• IP-адреси для лімітів зберігаються лише як хеш із сіллю на 24 години.

2. Платежі

• Реквізити карток ми не отримуємо: оплату приймає WayForPay (PCI DSS Level 1). До нас повертаються лише статус, сума й маскований номер.
• Кожне повідомлення від платіжного сервісу перевіряється за підписом HMAC із секретом мерчанта, сума звіряється із замовленням, а повторне повідомлення не нараховує доступ двічі.
• Для магазинів користувачів — такі самі перевірки з ключами власника магазину; суми замовлень рахуються на сервері з цін у базі, а не з даних браузера.

3. Дані й резервні копії

• З’єднання з платформою та всіма сайтами — лише HTTPS (TLS 1.2+, сертифікати видає й оновлює хостинг автоматично, зокрема для ваших власних доменів).
• База даних — Turso (libSQL) із шифруванням на диску й доступом лише за токеном; усі запити параметризовані (захист від SQL-ін’єкцій).
• Резервна копія бази створюється щодня, шифрується AES-256-GCM ключем, який зберігається окремо від хостингу, кладеться у приватне сховище й автоматично видаляється через 30 днів. Сесії, токени відновлення й лічильники в копії не потрапляють.
• Кожне збереження сайту проходить нормалізацію (битий документ не зіпсує попередній), ведеться історія версій, а одночасне редагування з двох вкладок виявляється й не затирає зміни.
• Файли, які ви завантажуєте, перевіряються за вмістом (а не лише за розширенням), SVG — на наявність скриптів, зображення — на «бомби розпакування»; розмір і загальний обсяг обмежені тарифом.

4. Сайти користувачів та ізоляція

• Усі сайти рендеряться через React з автоматичним екрануванням: текст, який вводить власник чи відвідувач, не може виконатися як код. Посилання перевіряються — схеми javascript: і data: відкидаються.
• Сайти, повністю згенеровані штучним інтелектом як код, показуються лише в ізольованому iframe без доступу до cookie й сторінки платформи.
• Кожен сайт бачить лише власні заявки, товари й замовлення; усі операції в API перевіряють, що ви — власник проєкту. Сайт під паролем закритий цілком — разом із заголовками сторінок, картою сайту, товарами й лічильниками.
• Заявки з неопублікованих сайтів приймаються лише з превʼю на платформі; форми мають приховану пастку для ботів і ліміти на IP та на сайт.
• Вбудований код лічильників і пікселів можна увімкнути лише через адміністратора платформи після перевірки.
• Заголовки безпеки: Content-Security-Policy для вбудовування, X-Content-Type-Options, Referrer-Policy; завантажені файли віддаються у пісочниці.

5. Штучний інтелект і витрати

• Усі запити до моделей проходять через єдиний шлюз із резервацією кредитів до запиту та списанням лише після успішної відповіді; для кожного користувача діють ліміти на годину, добу й місяць, а для платформи — добові й місячні стелі витрат, які зупиняють функцію, а не пропускають перевитрату.
• Довгі генерації мають жорсткий дедлайн і обриваються коректно; обірвані запити обліковуються за фактичною вартістю.
• У запити не потрапляють заявки, замовлення, паролі та платіжні дані. Контент не використовується для навчання моделей.

6. Процеси

• Кожна зміна коду проходить перевірку типів, статичний аналіз, понад 180 автоматичних наборів тестів (зокрема окремий набір регресій безпеки, де кожна перевірка — одна закрита вразливість) і наскрізні браузерні тести; залежності перевіряються на відомі вразливості перед кожним випуском.
• У жовтні 2026 року проведено аудит безпеки коду (понад 100 перевірених знахідок); критичні й високі усунуто до запуску, решта — у плані робіт.
• Секрети (ключі API, токени) зберігаються лише в змінних оточення хостингу, ніколи — в коді чи в браузері; сервер відмовляється стартувати в продакшні без секрету сесій.
• Доступ адміністратора до даних користувачів — лише для підтримки й розгляду скарг; дії фіксуються.
• Помилки сервера збираються в журнал без токенів і паролів; про збій резервного копіювання адміністратор дізнається автоматично.

7. Чого поки немає (чесно)

• обов’язкової двофакторної автентифікації — двофакторний вхід доступний за бажанням (розділ 1); радимо увімкнути його та використовувати унікальний довгий пароль;
• зовнішньої сертифікації на кшталт ISO 27001 чи SOC 2 — ми спираємося на сертифікації постачальників (Vercel, Turso, WayForPay);
• шифрування окремих полів у базі (ключі інтеграцій зберігаються в базі, захищеній на рівні диска й доступу) — заплановано;
• журналу дій користувача в кабінеті (хто й коли змінив сайт) — лише історія версій.

8. Повідомлення про інциденти та вразливості

Якщо ви знайшли вразливість — напишіть на vvvadim.businesss@gmail.com з темою «Security». Ми підтверджуємо отримання протягом 2 робочих днів, виправляємо критичні проблеми в пріоритетному порядку і не пред’являємо цивільних вимог та не ініціюємо звернень до правоохоронних органів щодо дослідників, які діють добросовісно: не отримують доступ до чужих даних понад необхідне для підтвердження, не порушують роботу сервісу і дають нам розумний час на виправлення до публічного розголошення. Будь ласка, не проводьте навантажувальних тестів і не використовуйте автоматичні сканери проти продакшн-середовища без попередньої домовленості.

Якщо стався інцидент з вашими даними, ми повідомляємо вас і, де вимагає закон, наглядовий орган не пізніше ніж за 72 години з моменту виявлення, з описом того, що сталося, і що ми зробили.

9. Що можете зробити ви

• використовуйте унікальний пароль і менеджер паролів;
• не діліться посиланням на превʼю та паролем сайту публічно; посилання на превʼю можна скинути в редакторі;
• підключайте в магазин лише власні ключі WayForPay і Нової Пошти, зберігайте їх у таємниці;
• при підозрі на злам — змініть пароль (це завершить інші сесії) і напишіть нам.

Чинна редакція — від 6 листопада 2026 року.