Ασφάλεια

1. Φιλοξενία και κρυπτογράφηση

Το QR Wait λειτουργεί στο δίκτυο της Cloudflare (Workers και Durable Objects) και αποθηκεύει εκεί τα δεδομένα του. Κάθε σύνδεση κρυπτογραφείται με HTTPS (TLS) και τα προγράμματα περιήγησης λαμβάνουν οδηγία να χρησιμοποιούν μόνο HTTPS στο qrwait.app και σε όλους τους υποτομείς του (HSTS, ένα έτος).

Οι σελίδες εφαρμόζουν αυστηρή Content Security Policy: τα σενάρια (scripts) φορτώνονται μόνο από το QR Wait και την Cloudflare, και κανένας άλλος ιστότοπος δεν μπορεί να εμφανίσει το QR Wait μέσα σε πλαίσιο (frame).

Η Cloudflare δηλώνει ότι διαθέτει πιστοποιήσεις ISO/IEC 27001, ISO/IEC 27701 και ISO/IEC 27018 (Cloudflare Trust Hub). Οι πιστοποιήσεις αυτές ανήκουν στην Cloudflare· το ίδιο το QR Wait δεν διαθέτει πιστοποίηση.

2. Λογαριασμοί και σύνδεση

• Οι κωδικοί πρόσβασης αποθηκεύονται μόνο ως τιμή κατακερματισμού PBKDF2-SHA-256 με salt. Ένας νέος κωδικός πρόσβασης που εμφανίζεται σε γνωστές παραβιάσεις δεδομένων απορρίπτεται· για τον έλεγχο αυτό εξέρχονται από το QR Wait μόνο οι 5 πρώτοι χαρακτήρες της τιμής κατακερματισμού SHA-1 του (k-ανωνυμία).
• Σύνδεση σε δύο βήματα με εφαρμογή ελέγχου ταυτότητας (TOTP), με κωδικούς ανάκτησης μίας χρήσης. Οι ιδιοκτήτες βλέπουν ποια μέλη της ομάδας την έχουν ενεργοποιήσει.
• Τα μέλη της ομάδας έχουν ρόλο (ιδιοκτήτης, διαχειριστής ή υπάλληλος) και, αν έχουν περιορισμό, ανοίγουν μόνο τις ουρές που τους έχουν ανατεθεί.
• Μετά από 5 αποτυχημένες συνδέσεις σε έναν λογαριασμό μέσα σε 24 ώρες, η σύνδεση απαιτεί επιπλέον έλεγχο για bots (Cloudflare Turnstile).
• Αποστέλλεται email όταν γίνεται σύνδεση στον λογαριασμό από νέο πρόγραμμα περιήγησης.
• Μια συνεδρία λήγει μετά από 14 ημέρες αχρησίας· η αλλαγή του κωδικού πρόσβασης ή η «Αποσύνδεση άλλων συσκευών» τερματίζει όλες τις υπόλοιπες.
• Οι σύνδεσμοι επαλήθευσης, επαναφοράς κωδικού πρόσβασης και πρόσκλησης είναι μίας χρήσης και αποθηκεύονται μόνο οι τιμές κατακερματισμού τους.

3. Όρια αιτημάτων

Τα αιτήματα περιορίζονται ανά διεύθυνση IP στο edge της Cloudflare: σύνδεση, εγγραφή και επαναφορά κωδικού πρόσβασης 10 το λεπτό, είσοδος σε ουρά 60 το λεπτό, το REST API 120 το λεπτό ανά κλειδί και 120 το λεπτό ανά διεύθυνση IP.

4. Δεδομένα επισκεπτών

• Δεν ζητείται ποτέ από τους επισκέπτες αριθμός τηλεφώνου ή διεύθυνση email. Όνομα ζητείται μόνο αν η επιχείρηση το ενεργοποιήσει για την ουρά.
• Ένας αριθμός προτεραιότητας, μαζί με το όνομα και τις απαντήσεις της φόρμας εισόδου που περιέχει, διαγράφεται το αργότερο 24 ώρες μετά την είσοδο στην ουρά, ανεξάρτητα από τις ρυθμίσεις της ουράς.
• Δεν αποθηκεύεται καμία τοποθεσία. Όταν μια ουρά ελέγχει την τοποθεσία, με τον αριθμό προτεραιότητας διατηρούνται μόνο η απόσταση από την ουρά και ο χρόνος μέτρησής της.
• Ο κωδικός QR που εμφανίζεται στην οθόνη του υπαλλήλου αλλάζει κάθε 15 έως 75 δευτερόλεπτα και κάθε κωδικός ισχύει για 1 έως 5 λεπτά, οπότε μια φωτογραφία του που κοινοποιείται αλλού δεν βάζει κανέναν στην ουρά.
• Οι ενέργειες των υπαλλήλων στο πάνελ καταγράφονται για 30 ημέρες· οι σύνδεσμοι υπαλλήλου μπορούν να ανακληθούν οποιαδήποτε στιγμή.

5. Αντίγραφα ασφαλείας

Ό,τι δεν μπορεί να αναδημιουργηθεί (λογαριασμοί, ρυθμίσεις ουρών, υπόλοιπα εισιτηρίων) εξάγεται κάθε ημέρα στο Cloudflare R2 και κρυπτογραφείται πριν εγγραφεί: κάθε τμήμα με δικό του κλειδί AES-256-GCM, το οποίο κρυπτογραφείται με τη σειρά του με δημόσιο κλειδί (RSA-OAEP). Το ιδιωτικό κλειδί που τα αποκρυπτογραφεί φυλάσσεται εκτός σύνδεσης. Οι εξαγωγές διατηρούνται για 35 ημέρες.

Οι αριθμοί προτεραιότητας δεν περιλαμβάνονται ποτέ σε αντίγραφο ασφαλείας: περιέχουν ονόματα επισκεπτών και υπάρχουν το πολύ μία ημέρα.

6. Ενσωματώσεις

• Τα webhooks υπογράφονται (HMAC-SHA256 με χρονοσήμανση) με ένα μυστικό που εμφανίζεται μία φορά και αποστέλλονται μόνο σε δημόσιες διευθύνσεις https. Περιέχουν μόνο αριθμούς και ώρες, εκτός αν η επιχείρηση επιτρέψει ονόματα για ένα endpoint.
• Τα κλειδιά API εμφανίζονται μία φορά και αποθηκεύονται μόνο ως τιμή κατακερματισμού SHA-256. Ένα κλειδί είτε μόνο διαβάζει είτε και γράφει, και μπορεί να ανακληθεί οποιαδήποτε στιγμή.
• Λεπτομέρειες για προγραμματιστές: η τεκμηρίωση API και webhooks (στα αγγλικά).

7. Υπεργολάβοι επεξεργασίας

Οι εξής εταιρείες επεξεργάζονται δεδομένα για λογαριασμό του QR Wait για τη λειτουργία της υπηρεσίας:

Οι ειδοποιήσεις του προγράμματος περιήγησης διέρχονται από την υπηρεσία push του προγράμματος περιήγησης του ίδιου του επισκέπτη. Ο τρόπος με τον οποίο τα δεδομένα εξέρχονται από την Τουρκία και την ΕΕ εξηγείται στην πολιτική απορρήτου.

8. Αναφορά ευπάθειας

Γράψτε στο hello@qrwait.app με θέμα «Security». Επιβεβαιώνουμε τη λήψη εντός 3 εργάσιμων ημερών και στέλνουμε μια πρώτη αξιολόγηση εντός 10 εργάσιμων ημερών. Παρακαλούμε να μην αποκαλύψετε το πρόβλημα έως ότου διορθωθεί και να κάνετε δοκιμές μόνο με τους δικούς σας λογαριασμούς και τις δικές σας ουρές.

Δεν θα λάβουμε νομικά μέτρα κατά έρευνας που τηρεί καλόπιστα αυτούς τους κανόνες. Δεν υπάρχει πρόγραμμα επιβράβευσης (bug bounty) με χρηματική αμοιβή. Η ίδια διεύθυνση επικοινωνίας, σε μηχαναγνώσιμη μορφή: security.txt.