Seguridad

Isang database bawat customer

Ang iyong memorya ay hindi isang hilera sa isang shared table na may column para sa customer. Bawat customer ay may sariling… sariling database. Walang mga pinagsasamahang talahanayan at walang mga katanungan sa pagitan ng iba’t ibang customer na maaaring magdulot ng pagkakamali, dahil ang hangganan ay ang mismong database, at hindi isang filter na kailangang tandaan ng sinuman na isulat.

Sinusubok ang hangganan na iyon mula sa labas sa bawat paglalabas: dalawang tunay na account, at bawat “pinto” na nagbibigay ng datos ay sinusuri upang matiyak na wala sa kanila ang makakakita sa isa’t isa. Hindi makakapaglabas ng bersyon hangga’t hindi ito nakakapasa sa pagsusuring ito.

Mga susi, at sino ang maaaring gumamit ng mga ito

Hindi namin maipapakita sa iyo ang iyong sariling susi.

Ang mga API key ay ipinapakita sa iyo nang isang beses lamang, sa paggawa nito. Ang iniimbak namin ay ang SHA-256 hash — kaya ang kopya ng aming database ay hindi magbibigay sa sinuman ng gumaganang key, at hindi rin namin o ng sinumang umaatake mababasa ang iyong key. Ang pag-revoke ng key ay epektibo sa serbisyo sa loob ng humigit-kumulang isang minuto, at agad sa makina na naglilingkod sa iyong memorya.

Maaaring limitahan ang mga susi.

Hindi kailangang maging makapangyarihan ang isang susi. Maaaring maging… ayon sa saklaw ng bawat proyekto — read at write, read-only, o ganap na hindi nakikita — ito ang tamang anyo para sa kontratista, CI job, o single-purpose agent na walang karapatang basahin ang iba pang trabaho mo. Ang key na may sira o hindi mabasang scopes ay tinatanggihan sa lahat kaysa binibigyan ng lahat.

Dalawang-pamantayang pagpapatunay

Maaaring mangailangan ang iyong account ng pangalawang paraan ng pagpapatunay kapag naglo-log in ka, at kapag binuksan mo ito, ito ay ipinatutupad sa tuwing maglo-log in ka, hindi lamang ipinapakita bilang setting. Inirerekomenda namin ito ngunit hindi namin ito ipinipilit: ang iyong mga alaala ay protektado lamang hangga’t protektado ang account kung saan nakaimbak ang mga ito, ngunit ang paggawa sa pagtanggal ng sarili mong data na nakabatay sa pagpaparehistro ng telepono ay mas masama pa.

Proteksyon mula sa iyong sariling mga ahente

Ito ang bahaging kadalasan ay hindi isinasaalang-alang ng karamihan sa mga serbisyo. Ang iyong memorya ay patuloy na pinapatakbo ng mga AI agent — at maaaring magkamali ang isang agent, makatanggap ng mapanirang tagubilin na nakatago sa loob ng nilalaman na hiniling sa kaniyang basahin, o burahin ang maling bagay ilang oras bago ito mapansin ng tao.

Kaya naman ang orihinal na arkibo ng mga pag-uusap ay sinasadyang hindi nila maaabot. Walang ahente ang maaaring magtanggal ng kahit isang mensahe. Walang ahente ang maaaring makialam sa mga mensahe mula sa huling tatlong buwan.Ang mas matandang kasaysayan ay maaari lamang alisin nang sabay-sabay, ayon sa proyekto. Ang pagtanggal sa buong proyekto — ang tanging paraan upang maalis ang lahat ng impormasyon sa arkibo — ay hindi available sa mga ahente sa anumang antas; ito ay ginagawa sa panel ng account, kung saan isang tao ang naglalagay ng pangalan ng proyekto.

Simple lang ang dahilan kung bakit ito mahalaga: ang inihandang alaala ay nagmumula sa arkibo, at ang arkibo ang orihinal. Anumang mawala dahil sa masamang pag-edit ay maaaring muling buuin mula sa kasaysayan. Walang anumang makakabuo muli ng kasaysayan.

Pag-encrypt, mga backup, at kung saan nakatira ang iyong datos

Ang trapiko ay nai-encrypt habang ito ay naglalakbay gamit ang TLS. Kapag nakatigil, ang iyong memorya ay nai-encrypt din. dalawang beses: Mayroong pag-encrypt sa buong volume sa ibaba, at sa ibabaw nito, ang iyong database—bawat pag-uusap, bawat talaan, at ang write-ahead log—ay na-encrypt din. ang sarili mong susi bawat customer, Hiwalay ito sa lahat ng ibang customer. Ang susi na nagbubukas sa storage volume ay hindi nakaimbak sa database server; ang ninakaw na disk, ang natuklasang larawan, o ang drive na hindi na ginagamit ay walang halaga.

Ang pagtanggal ay kriptograpiko.

Dahil bawat customer ay may sariling susi, ang pagtanggal sa iyo ay hindi isang maaasahang paraan ng paglilinis sa storage: Nasira ang iyong susi at nawala ang iyong database., At ang natitira ay hindi mababasa ng sinuman, kabilang na tayo. Ang mga naka-encrypt na backup ay tinatanggal agad, sa halip na hayaang ma-expire, at ang anumang natitirang kopya ay binubura rin habang umiikot ang ating mga sistema ng backup, sa loob ng 30 araw bilang maximum. Wala tayong makukuhang kopya upang maibalik.

Ano ang hindi saklaw ng pag-encrypt bawat customer

Dalawang malinaw na hangganan. Ang database engine ay nag-iingat ng mga panloob na istatistika para sa pagpaplano ng mga katanungan, kung saan kinukuha ang mga halimbawa ng mga halaga ng column; ang mga halimbawang ito ay nasa ilalim ng encryption, hindi sa ilalim ng iyong Personal na susi. At ang encryption sa panahon ng pag-iimbak ay talagang ganoon nga — sa panahon ng pag-iimbak: kinakailangan ng serbisyo na i-decrypt ang iyong data upang maproseso ang mga paghahanap at pamamahala ng impormasyon, kaya ang patakaran namin at ang aming mga kontrol sa pag-access ay “hindi kami kailanman tumitingin sa iyong data”, at hindi ito isang imposibleng bagay mula sa pananaw ng matematika. Mas gugustuhin naming sabihin sa iyo kung saan ang hangganan kaysa hayaan kang isipin na wala ito.

Isinasagawa ang mga backup tuwing gabi. Nai-encrypt bago umalis sa ating mga makina, At nakaimbak ang mga ito sa labas ng lugar ng operasyon sa EU ayon sa isang paunang-natukoy na iskedyul, at nananatili roon nang hanggang tatlong buwan. Kapag tinanggal ang isang account, ang mga backup nito ay tinatanggal din, at ang anumang natitirang kopya ay nawawala sa loob ng 30 araw.

Ang iyong memorya ay nakaimbak, na-index, at hinahanap nang buo sa loob ng EU — ang aming mga server ay nasa Frankfurt at ang aming backups ay nasa Falkenstein, pareho sa Germany. Ang search embeddings ay kinakalkula sa aming sariling machines at hindi kailanman lumalabas sa kanila.

Ang tanging eksepsyon ay ang AI curation. Ang passage na kinokurato ay ipinapadala sa Ollama, sa Estados Unidos, Naproseso at ibinalik. Ayon sa published terms ng Ollama, ang inputs at outputs ay napoproseso nang transiently at hindi kailanman ginagamit sa pag-train ng models — iyan ang kanilang commitment, sa kanilang sariling terms, at sinasabi namin ito bilang kanila kaysa bilang aming pangako. Wala nang ibang lumalabas sa EU. Kung kailangan mo ng curation na hindi rin lumalabas sa EU, available ito sa dedicated deployment — magtanong. Ang bawat sub-processor, kasama ang layunin at lokasyon, ay nakalista sa Patakaran sa Pagkapribado.

Paano kami nagpapatakbo

Pinakamababang pribilehiyo, bilang default

Ang serbisyo ay tumatakbo bilang isang user na walang espesyal na pribilehiyo sa loob ng container nito, kailanman hindi bilang root. Ang papel nito sa database ay hindi bilang superuser at hindi ito maaaring magbasa ng mga file mula sa host. Ang mga ito ay awtomatikong sinusuri bago bawat paglalabas, sa halip na ipagpalagay lamang.

Ang mga internal endpoint ay nakakandado sa gilid.

Ang mga endpoint na naglalaan ng mga account at nagpapatunay sa mga key ay maaabot lamang sa pamamagitan ng ating sariling control plane; kinukumpirma ang pagkakakilanlan nito sa gilid ng network bago pa man makarating ang kahilingan, at muli sa pamamagitan ng isang shared secret. Dalawang lock, hindi isa.

Fail closed

Kapag may kulang o hindi mabasa ang impormasyon, tinatanggihan ng serbisyo ito sa halip na humula. Ang susi na hindi maaaring mapatunayan ay tinatanggihan din. Ang mga pahintulot na sira ay wala ring silbi. Ang lihim sa pag-sign ng webhook na wala ay nagreresulta sa pagtanggi sa bawat kaganapan, sa halip na paniwalaan ang natatanggap na impormasyon. Ito ay isang sinasadyang pamamaraan: ang paraan ng pagtugon ng serbisyo sa mga pagkabigo ay dapat na “walang sagot”, at hindi “sagot ng maling kostumer”.

Ang bawat release ay napatunayan mula sa labas.

Bago maglabas ng anumang release, isang automated gate ang naglalakad sa buong produkto mula sa isang bagong account sa pamamagitan ng tunay na koneksyon sa network: pag-sign up, pag-issue at pag-revoke ng mga key, pag-imbak at pag-recall ng memorya, paghihiwalay sa pagitan ng dalawang live na account, pag-export ng datos, at kumpletong pagbura. Ito ay pumapasa nang buo o hindi magaganap ang release.

Pag-uulat ng problema sa seguridad

Kung sa iyong palagay ay nakatuklas ka ng isang kahinaan, mangyaring sabihin mo muna sa amin bago mo ito sabihin sa iba, at makikipagtulungan kami sa iyo. Ang mga detalye para makipag-ugnayan ay nakalathala sa /.well-known/security.txt o sumulat sa [email protected]. Hindi namin tinatapakan ang mga mananaliksik na nag-uulat nang may mabuting intensyon.

Ang mga mas malalim na kinakailangan — isang kasunduan sa pagproseso ng datos, isang dedikadong deployment sa rehiyong pipiliin mo, o pagpapanatili ng curation sa loob ng EU — ay mga bagay na direktang aming hinahawakan. Magtanong.