امنیت در پوشه
این صفحه توضیح می‌دهد پوشه امروز چه کارهایی برای حفاظت از فایل‌ها و دسترسی‌ها انجام می‌دهد. محدودیت‌ها را هم صریح نوشته‌ایم.
نگهداری فایل
- فایل‌ها در فضای ذخیره‌سازی خصوصی نگهداری می‌شوند؛ هیچ مخزن عمومی یا نشانی مستقیم دائمی به فایل وجود ندارد.
- هر بار نمایش یا دانلود، پس از بررسی دسترسی در سرور انجام می‌شود و پاسخ‌ها در کش‌های مشترک ذخیره نمی‌شوند.
- فایل حذف‌شده ۳۰ روز در سطل زباله می‌ماند و پس از آن، فایل اصلی، نسخه‌ها، تصاویر صفحه و داده‌های بازدید پاک می‌شوند. نسخه‌های پشتیبان تا پایان دوره نگهداری خود باقی می‌مانند.
بررسی فایل‌های بارگذاری‌شده
- نوع واقعی فایل از محتوای آن تشخیص داده می‌شود و باید با پسوند بخواند؛ فایل‌های آفیس دارای ماکرو پذیرفته نمی‌شوند.
- هر فایل پیش از انتشار با ضدبدافزار بررسی می‌شود؛ اگر بررسی ممکن نباشد، فایل منتشر نمی‌شود.
- تبدیل و پردازش فایل در محیط جدا، بدون دسترسی به اینترنت و با سقف زمان و حافظه انجام می‌شود.
دسترسی و جداسازی فضاهای کاری
- دسترسی همیشه در سرور بررسی می‌شود؛ هر درخواست فقط داده فضای کاری خود را می‌بیند. آزمون‌های خودکار دسترسی میان فضاهای کاری، دسترسی به شناسه‌های دیگران و دور زدن لینک را پوشش می‌دهند.
- نقش‌ها و نقش‌های سفارشی، دسترسی پوشه با امکان «ممنوع»، و مهمان با تاریخ انقضا.
- لینک‌های اشتراک نشانی تصادفی ۲۵۶ بیتی دارند و فقط چکیده آن نگهداری می‌شود؛ رمز لینک با Argon2id ذخیره می‌شود.
ورود و نشست
- ورود با کد یکبارمصرف؛ تعداد تلاش و درخواست کد محدود است.
- کوکی نشست فقط از طریق HTTPS و غیرقابل‌دسترس برای اسکریپت‌هاست. مدیران می‌توانند طول نشست را محدود کنند و یک عضو یا همه را از همه دستگاه‌ها خارج کنند.
گزارش ممیزی
- کارهای حساس (تغییر دسترسی، لغو لینک، تغییر سیاست، پرداخت و…) در گزارش ممیزی ثبت می‌شوند. ردیف‌های گزارش زنجیره هش دارند تا تغییر یا حذف یک ردیف آشکار شود.
- مدیران سامانه به محتوای فایل‌های مشتریان دسترسی ندارند؛ اقدامات آنان هم ثبت می‌شود.
آنچه ادعا نمی‌کنیم
- رمزنگاری سرتاسری نداریم: سرور برای نمایش صفحه‌ها و واترمارک باید فایل را بخواند.
- هیچ نمایشگری جلوی اسکرین‌شات یا عکس گرفتن از صفحه را نمی‌گیرد؛ واترمارک فقط ردیابی را آسان‌تر می‌کند.
- زنجیره هش گزارش ممیزی نشانه تغییر است، نه مدرک حقوقی؛ دسترسی مدیر پایگاه داده می‌تواند آن را دوباره بسازد.
- گواهی یا انطباق رسمی با استانداردی را ادعا نمی‌کنیم و تست نفوذ مستقل هنوز انجام نشده است.
اگر آسیب‌پذیری امنیتی پیدا کردید، لطفاً از بخش پشتیبانی پنل گزارش دهید و پیش از رفع، آن را عمومی نکنید.