La sicurezza in Espobase

• Espobase non ha la certificazione SOC 2 e non è conforme a HIPAA. Non firmiamo Business Associate Agreement (BAA).
• Non salvare informazioni sanitarie soggette a HIPAA, numeri di carte di pagamento o altri dati che richiedono un fornitore certificato: i nostri Termini non lo consentono.

• Tutto il traffico verso il sito, la dashboard e le API usa HTTPS.
• I backup vengono cifrati (AES-256-GCM) prima di lasciare il nostro server.
• Le password dei database, le chiavi di firma e gli altri segreti sono salvati cifrati (AES-256-GCM).

• Le password sono salvate solo come hash irreversibili (Argon2id), sia per il tuo account Espobase sia per gli utenti della tua app.
• Le chiavi API e i token di accesso sono salvati solo come hash con chiave e mostrati una sola volta, quando li crei.
• Le chiavi API segrete vengono rifiutate se arrivano da un browser, così non possono trapelare per errore dal front end.

• La sicurezza a livello di riga è attiva per impostazione predefinita su ogni nuova tabella: con una chiave pubblicabile non si può leggere nulla finché non aggiungi una regola.
• Ogni progetto ha il proprio database, isolato dagli altri progetti.
• Le regole di sicurezza ti vengono mostrate in SQL da controllare prima di applicarle, e le modifiche proposte dall'AI non vengono mai applicate senza la tua approvazione.

• Il database di ogni progetto viene salvato ogni giorno. Un backup conta solo dopo essere stato riscaricato, decifrato e verificato.
• I backup vengono conservati 1 giorno (Free), 7 giorni (Pro) o 14 giorni (Group) e sono bloccati contro l'eliminazione per 7 giorni.

• Verifica dell'email, reimpostazione della password e accesso con GitHub, Google o Apple.
• Ruoli per i membri dell'organizzazione (proprietario, amministratore, sviluppatore, lettore) e accesso solo a progetti selezionati.
• Single sign-on (SSO) e un log di audit delle azioni sensibili nel piano Group.
• I token di accesso personali sono limitati ai permessi che scegli e scadono sempre.

• Il sito, la dashboard e le API vengono controllati dall'esterno ogni 5 minuti: guarda la pagina di stato in tempo reale.
• Da internet è raggiungibile solo il punto di ingresso web: i database e i servizi interni non sono mai esposti.
• Riceviamo un avviso automatico quando un servizio si ferma.

I database dei progetti e le API funzionano negli Stati Uniti (Boston). I file caricati e i backup sono archiviati su Cloudflare R2, in Nord America. I dettagli sono nella nostra informativa sulla privacy.

Se pensi di aver trovato una vulnerabilità, scrivi a support@espobase.com con i dettagli e i passaggi per riprodurla. Durante i test non accedere ai dati di altre persone e non interrompere il servizio. Ti risponderemo e ti terremo aggiornato finché non sarà risolta.