Qurak

Keselamatan

Apa yang berlaku pada sesuatu ungkapan selepas anda menekan Nilai.

Setiap penilaian berjalan dalam kotak pasir

Setiap ungkapan dinilai dalam proses pekerjanya sendiri, dikurung oleh dasar kernel: penapis syscall dan peraturan sistem fail menolak capaian fail, proses dan rangkaian, dan fungsi yang akan menjangkau ke luar pengiraan disekat oleh dasar sebelum enjin melihatnya. Penilaian yang lari kawalan dimatikan bersama prosesnya; ia tidak boleh hidup melebihi bajetnya atau menyentuh kerja pengguna lain. Sesi yang mengekalkan keadaan antara panggilan adalah peribadi kepada akaun anda dan digugurkan selepas tiga puluh minit melahu.

Akaun dan kelayakan

Kata laluan disimpan sebagai cincangan Argon2, tidak sekali-kali sebagai apa-apa yang boleh diterbalikkan. Pengesahan dua faktor TOTP tersedia pada setiap akaun. Token API dipaparkan sekali sahaja semasa dicipta, disimpan dalam bentuk cincangan, dan boleh ditarik balik satu demi satu. Kebenaran OAuth kepada aplikasi bersambung mempunyai skop, disenaraikan di halaman MCP, dan boleh ditarik balik di sana.

Pembayaran

Kad dikendalikan oleh Stripe pada pelayan Stripe sendiri; nombor kad tidak pernah sampai ke pelayan kami. Organisasi boleh sebaliknya membayar dengan invois atau cek, direkodkan terhadap tempoh oleh seorang pentadbir.

Posturnya, dinyatakan terus terang

Trafik menggunakan TLS. Belum ada laporan SOC 2, belum ada log masuk tunggal dan belum ada SCIM - setiap satu dibina apabila perolehan sebenar memintanya, dan halaman organisasi menyatakan perkara yang sama. Jika semakan anda memerlukan artifak tertentu, tanyalah; jawapannya ialah tarikh atau tidak, bukan mungkin.

Melaporkan kerentanan

Tulis kepada support@qurak.com dengan apa yang anda temui. Laporan dibaca oleh orang yang mampu membaikinya, dan kami lebih rela mendengarnya daripada anda berbanding menemuinya dalam log.

Jika laporan itu sensitif, sulitkannya kepada kunci di bawah; semak cap jarinya dengan salinan di keys.openpgp.org sebelum anda mempercayainya.

Cap jari
786E F53D 8D76 1C23 D622 5ADC E4F3 4AC6 D3BA 9E37
Kunci awam
/.well-known/pgp/support.asc
Dasar pendedahan yang boleh dibaca mesin (RFC 9116)
/.well-known/security.txt

Kedua-dua alamat, kedua-dua kunci dan cara mengesahkannya ada di halaman hubungi kami.