Безопасность HexSales

1. Границы доверия

Секретные ключи, токены интеграций и привилегированные операции должны оставаться на серверной стороне. Клиентское приложение не должно получать Supabase secret key, ключ OpenAI или токены внешних каналов.

2. Изоляция организаций

Бизнес-данные имеют явную принадлежность к организации. В текущей схеме доступ ограничен Supabase RLS и проверками сессии в серверных маршрутах; негативный тест между двумя независимыми организациями проверяет чтение, создание, изменение, удаление и привилегированные RPC. Конфигурация production повторно проверяется при каждом выпуске.

3. Интеграции и webhooks

• проверка подлинности и защита от повторной доставки;
• шифрование токенов и минимально необходимые права;
• rate limiting и безопасные журналы без секретов;
• health checks, повторные попытки и уведомления об ошибках.

4. Разработка и выпуск

Процесс production-деплоя включает lint, typecheck, сборку, smoke-тесты ключевого пути и проверку preview deployment. Зависимости и репозиторий должны регулярно проверяться на утечки секретов и известные уязвимости.

5. Сообщение об уязвимости

Выделенный security-канал и правила responsible disclosure ещё не утверждены. Не публикуйте потенциальную уязвимость открыто; актуальные способы связи должны быть указаны на странице контактов.