Biztonság

1. Tárhely és titkosítás

A QR Wait a Cloudflare hálózatán fut (Workers és Durable Objects), és ott tárolja az adatait. Minden kapcsolat HTTPS-sel (TLS) titkosított, és a böngészők azt az utasítást kapják, hogy a qrwait.app és minden aldomainje esetén csak HTTPS-t használjanak (HSTS, egy évre).

Az oldalak szigorú tartalombiztonsági szabályzatot (Content Security Policy) alkalmaznak: szkriptek csak a QR Waittől és a Cloudflare-től töltődhetnek be, és más webhely nem jelenítheti meg a QR Waitet keretben.

A Cloudflare közlése szerint ISO/IEC 27001, ISO/IEC 27701 és ISO/IEC 27018 szerinti tanúsítással rendelkezik (Cloudflare Trust Hub). Ezek a Cloudflare tanúsításai; magának a QR Waitnek nincs tanúsítása.

2. Fiókok és bejelentkezés

• A jelszavakat csak sózott PBKDF2-SHA-256 hash-értékként tároljuk. Az ismert adatszivárgásokban szereplő új jelszót elutasítjuk; ehhez az ellenőrzéshez csak a jelszó SHA-1 hash-értékének első 5 karaktere hagyja el a QR Waitet (k-anonimitás).
• Kétlépéses bejelentkezés hitelesítő alkalmazással (TOTP), egyszer használható helyreállítási kódokkal. A tulajdonosok látják, mely csapattagok kapcsolták be.
• A csapattagoknak szerepkörük van (tulajdonos, vezető vagy munkatárs), és ha korlátozták őket, csak a nekik kiosztott sorokat nyithatják meg.
• Ha egy fiókba 24 órán belül 5 sikertelen bejelentkezési kísérlet történik, a bejelentkezéshez robotellenőrzés is kell (Cloudflare Turnstile).
• Ha a fiókba új böngészőből jelentkeznek be, e-mailt küldünk.
• A munkamenet 14 nap használaton kívüliség után lejár; a jelszó megváltoztatása vagy a „Kijelentkezés a többi eszközön” az összes többit lezárja.
• A megerősítő, jelszó-visszaállító és meghívó linkek egyszer használhatók, és csak a hash-értéküket tároljuk.

3. Kéréskorlátok

A kéréseket IP-címenként a Cloudflare peremhálózatán korlátozzuk: bejelentkezés, regisztráció és jelszó-visszaállítás percenként 10, sorba állás percenként 60, a REST API kulcsonként percenként 120 és IP-címenként percenként 120.

4. A látogatók adatai

• A látogatóktól soha nem kérünk telefonszámot vagy e-mail-címet. Nevet csak akkor kérünk, ha a vállalkozás bekapcsolja a sornál.
• A sorszám a benne lévő névvel és űrlapválaszokkal együtt legkésőbb a sorba állást követő 24 órán belül törlődik, a sor beállításaitól függetlenül.
• Helyadatot nem tárolunk. Ha egy sor helyellenőrzést végez, a sorszámmal együtt csak a sortól mért távolságot és a mérés időpontját őrizzük meg.
• A munkatárs képernyőjén megjelenő QR-kód 15–75 másodpercenként változik, és minden kód 1–5 percig érvényes, így a máshol megosztott fotóval senki sem áll be a sorba.
• A munkatársak panelen végzett műveleteit 30 napig naplózzuk; a munkatársi linkek bármikor visszavonhatók.

5. Biztonsági mentések

Ami nem építhető újra (fiókok, sorbeállítások, jegyegyenlegek), azt naponta exportáljuk a Cloudflare R2-be, és írás előtt titkosítjuk: minden részt saját AES-256-GCM kulccsal, amelyet egy nyilvános kulccsal (RSA-OAEP) titkosítunk. Az ezeket feloldó titkos kulcsot offline tároljuk. Az exportokat 35 napig őrizzük meg.

A sorszámok soha nem kerülnek biztonsági mentésbe: látogatói neveket tartalmaznak, és legfeljebb egy napig élnek.

6. Integrációk

• A webhookok alá vannak írva (HMAC-SHA256, időbélyeggel) egy csak egyszer megjelenő titokkal, és csak nyilvános https-címekre mennek. Csak sorszámokat és időpontokat tartalmaznak, hacsak a vállalkozás egy végpontnál nem engedélyezi a neveket.
• Az API-kulcsok csak egyszer jelennek meg, és csak SHA-256 hash-értékként tároljuk őket. Egy kulcs vagy csak olvas, vagy írni is tud, és bármikor visszavonható.
• Részletek fejlesztőknek: API- és webhook-referencia (angol nyelvű).

7. További adatfeldolgozók

Ezek a cégek a QR Wait nevében kezelnek adatokat a szolgáltatás működtetéséhez:

A böngészős értesítések a látogató saját böngészőjének push-szolgáltatásán keresztül érkeznek. Azt, hogy az adatok hogyan kerülnek ki Törökországból és az EU-ból, az adatvédelmi tájékoztató ismerteti.

8. Sérülékenység bejelentése

Írj a következő címre „Security” tárggyal: hello@qrwait.app. 3 munkanapon belül visszaigazoljuk a bejelentést, és 10 munkanapon belül küldünk egy első értékelést. Kérjük, a hiba kijavításáig ne hozd nyilvánosságra, és csak a saját fiókjaiddal és soraiddal tesztelj.

Nem teszünk jogi lépéseket az olyan kutatással szemben, amely jóhiszeműen betartja ezeket a szabályokat. Fizetett hibavadász-program (bug bounty) nincs. Ugyanez a kapcsolat géppel olvasható formában: security.txt.