Qurak

Безпека

Що відбувається з виразом після того, як ви натиснули «обчислити».

Кожне обчислення виконується в пісочниці

Кожен вираз обчислюється у власному робочому процесі, обмеженому політикою ядра: фільтр системних викликів і правила файлової системи забороняють доступ до файлів, процесів і мережі, а функції, що сягнули б за межі обчислення, блокуються політикою ще до того, як їх побачить рушій. Некероване обчислення вбивається разом зі своїм процесом — воно не може пережити свій бюджет чи торкнутися роботи іншого користувача. Сесії, що зберігають стан між викликами, приватні для вашого облікового запису і закриваються після тридцяти хвилин простою.

Облікові записи та облікові дані

Паролі зберігаються як хеші Argon2 — ніколи в оборотній формі. Двофакторна автентифікація TOTP доступна для кожного облікового запису. API-токени показуються один раз при створенні, зберігаються хешованими й відкликаються поодинці. OAuth-дозволи під'єднаним застосункам обмежені скоупами, перелічені на сторінці MCP і там само відкликаються.

Платежі

Картки обробляє Stripe на серверах Stripe; номер картки ніколи не потрапляє на наші. Організації натомість можуть платити за рахунком або чеком — адміністратор записує платіж на відповідний строк.

Позиція, викладена прямо

Трафік іде через TLS. Звіту SOC 2, єдиного входу та SCIM поки немає — кожне з'явиться тоді, коли про нього попросить справжня закупівля, і сторінка для організацій каже те саме. Якщо вашій перевірці потрібен конкретний артефакт — запитайте; відповіддю буде дата або «ні», а не «можливо».

Повідомити про вразливість

Напишіть на support@qurak.com з описом знайденого. Повідомлення читають люди, які можуть це виправити, і ми радше почуємо це від вас, ніж знайдемо в журналі.

Якщо повідомлення містить чутливі відомості, зашифруйте його ключем нижче; перш ніж довіряти ключу, звірте відбиток із копією на keys.openpgp.org.

Відбиток
786E F53D 8D76 1C23 D622 5ADC E4F3 4AC6 D3BA 9E37
Відкритий ключ
/.well-known/pgp/support.asc
Машиночитна політика розкриття (RFC 9116)
/.well-known/security.txt

Обидві адреси, обидва ключі та спосіб їх перевірити — на сторінці контакти.