Bezpieczeństwo

1. Hosting i szyfrowanie

QR Wait działa w sieci Cloudflare (Workers i Durable Objects) i tam przechowuje swoje dane. Każde połączenie jest szyfrowane przez HTTPS (TLS), a przeglądarki dostają polecenie, by na qrwait.app i wszystkich jego subdomenach używały wyłącznie HTTPS (HSTS, rok).

Strony mają ścisłą politykę bezpieczeństwa treści (CSP): skrypty ładują się tylko z QR Wait i Cloudflare, a żadna inna strona nie może wyświetlić QR Wait w ramce.

Cloudflare deklaruje, że posiada walidacje ISO/IEC 27001, ISO/IEC 27701 i ISO/IEC 27018 (Cloudflare Trust Hub). To certyfikaty Cloudflare; sam QR Wait nie ma żadnej certyfikacji.

2. Konta i logowanie

• Hasła są przechowywane wyłącznie jako solony skrót PBKDF2-SHA-256. Nowe hasło, które występuje w znanych wyciekach danych, jest odrzucane; do tej kontroli z QR Wait wychodzi tylko 5 pierwszych znaków jego skrótu SHA-1 (k-anonimowość).
• Logowanie dwuetapowe z aplikacją uwierzytelniającą (TOTP) i jednorazowymi kodami odzyskiwania. Właściciele widzą, którzy członkowie zespołu je włączyli.
• Członkowie zespołu mają rolę (właściciel, kierownik lub obsługa), a jeśli są ograniczeni, otwierają tylko przydzielone im kolejki.
• Po 5 nieudanych logowaniach do konta w ciągu 24 godzin logowanie wymaga też weryfikacji antybotowej (Cloudflare Turnstile).
• Gdy ktoś zaloguje się do konta z nowej przeglądarki, wysyłany jest e-mail.
• Sesja wygasa po 14 dniach nieużywania; zmiana hasła lub „Wyloguj inne urządzenia” kończy wszystkie pozostałe.
• Linki weryfikacyjne, do resetu hasła i zaproszenia są jednorazowe, a przechowywane są tylko ich skróty.

3. Limity żądań

Żądania są ograniczane dla każdego adresu IP na brzegu sieci Cloudflare: logowanie, rejestracja i reset hasła 10 na minutę, dołączanie do kolejki 60 na minutę, REST API 120 na minutę na klucz i 120 na minutę na adres IP.

4. Dane odwiedzających

• Odwiedzających nigdy nie prosi się o numer telefonu ani adres e-mail. O imię pyta się tylko wtedy, gdy firma włączy to dla kolejki.
• Bilet wraz z imieniem i odpowiedziami z formularza jest usuwany najpóźniej 24 godziny po dołączeniu, niezależnie od ustawień kolejki.
• Lokalizacja nie jest przechowywana. Gdy kolejka sprawdza lokalizację, przy bilecie zapisywana jest tylko odległość od kolejki i czas pomiaru.
• Kod QR na ekranie obsługi zmienia się co 15–75 sekund, a każdy kod działa od 1 do 5 minut, więc zdjęcie udostępnione gdzie indziej nikogo nie wpuści.
• Działania obsługi w panelu są zapisywane w dzienniku przez 30 dni; linki obsługi można w każdej chwili cofnąć.

5. Kopie zapasowe

To, czego nie da się odtworzyć (konta, ustawienia kolejek, salda biletów), jest codziennie eksportowane do Cloudflare R2 i szyfrowane przed zapisem: każda część własnym kluczem AES-256-GCM, który z kolei jest szyfrowany kluczem publicznym (RSA-OAEP). Klucz prywatny, który je otwiera, jest przechowywany offline. Eksporty są przechowywane przez 35 dni.

Bilety nigdy nie trafiają do kopii zapasowej: zawierają imiona odwiedzających i istnieją najwyżej jeden dzień.

6. Integracje

• Webhooki są podpisywane sekretem pokazywanym tylko raz (HMAC-SHA256 ze znacznikiem czasu) i trafiają wyłącznie na publiczne adresy https. Zawierają tylko numery i godziny, chyba że firma zezwoli na imiona dla danego adresu.
• Klucze API są pokazywane raz i przechowywane wyłącznie jako skrót SHA-256. Klucz albo tylko odczytuje, albo także zapisuje; można go w każdej chwili unieważnić.
• Szczegóły dla programistów: dokumentacja API i webhooków (po angielsku).

7. Podprzetwarzający

Te firmy przetwarzają dane w imieniu QR Wait, aby usługa działała:

Powiadomienia przeglądarki przechodzą przez usługę push przeglądarki samego odwiedzającego. Jak dane opuszczają Turcję i UE, wyjaśnia polityka prywatności.

8. Zgłaszanie podatności

Proszę napisać na hello@qrwait.app z tematem „Security”. Potwierdzamy otrzymanie w ciągu 3 dni roboczych i wysyłamy pierwszą ocenę w ciągu 10 dni roboczych. Prosimy nie ujawniać problemu do czasu jego naprawy i testować wyłącznie na własnych kontach i kolejkach.

Nie podejmiemy kroków prawnych wobec badań prowadzonych w dobrej wierze zgodnie z tymi zasadami. Nie ma płatnego programu bug bounty. Te same dane kontaktowe w formie czytelnej dla maszyn: security.txt.