Нашата собствена позиция по сигурността.
Как защитаваме флота от обхождащи роботи, данните, които произвежда, и клиентските табла за управление. SOC2 Type II, ISO 27001, GDPR-готов.
Архитектурни стълбове
Tenant isolation
Every customer's scan data, allow-lists, and forensic artifacts are stored in logically isolated namespaces with row-level security enforced at the database layer. Cross-tenant access is impossible by construction.
Encryption everywhere
TLS 1.3 in transit. AES-256 at rest. Per-tenant keys for forensic archives (HAR, screenshots) managed via a hardware-backed KMS. Backups are encrypted with separate keys.
Least privilege
Production access is gated by short-lived SSO + hardware MFA. Engineers receive time-bound, audited access only when responding to a documented incident or change request.
Containerized scanners
Each Chromium scan runs in an ephemeral, single-use container with no persistent state, no outbound access except to the target site, and is destroyed within 30 seconds of completion.
Continuous monitoring
All control-plane events stream into an internal SIEM with automated detection rules for credential abuse, privilege escalation, and unusual data access patterns.
Secure SDLC
Mandatory code review, dependency scanning (Snyk + npm audit + Dependabot), SAST on every PR, and signed container images with SLSA-aligned provenance for every release.
Състояние на съответствие
Annually audited. Latest report available under NDA from security@domain-exploits.io.
Information security management system aligned. Statement of Applicability available on request.
EU data residency option. We are a processor under Article 28; DPA available pre-contract.
Customer-side controls help merchants satisfy requirements 6.4.3 and 11.6.1 (script integrity on payment pages).
Detect unauthorized data egress paths. BAA available on the Enterprise tier for healthcare customers.
Координирано разкриване на уязвимости
Ако смятате, че сте открили уязвимост в сигурността на нашата платформа – включително таблото за управление, флота от скенери, конвейера за сигнализиране, публичния уебсайт или който и да е поддомейн – моля, докладвайте ни я на dancho.danchev@hush.com.
- Ние потвърждаваме докладите в рамките на 24 часа.
- Сортиране и оценка на критичността в рамките на 72 часа.
- Цели за корекции: критични 7 дни, високи 14 дни, средни 30 дни.
- Отдаваме заслуженото на изследователите в нашата зала на славата, освен ако не поискате анонимност.
- Безопасно пристанище: няма да предприемаме съдебни действия срещу добросъвестни изследвания, проведени в обхвата.
Извън обхват
- Отказ на услуга, обемен или тестване на ограничаване на скоростта.
- Социално инженерство на персонала, клиентите или доставчиците.
- Констатации, получени от публична конфигурация на зависимости (моля, докладвайте нагоре по веригата).
- Самонасочен XSS, който изисква жертвата да постави полезния товар в инструмента за разработчици.
- Доклади, генерирани единствено от автоматизирани скенери без доказателство за концепция.
Реакция при инциденти
Работим с дежурни екипи 24/7 в три часови зони. Инцидентите, засягащи клиенти, се съобщават на публичната страница за състоянието в рамките на 15 минути от потвърдено въздействие, с актуализации на напредъка на всеки 30 минути до разрешаването. Пълен преглед след инцидента с основна причина и коригиращи действия се публикува в рамките на 5 работни дни.