Securitate

1. Găzduire și criptare

QR Wait rulează în rețeaua Cloudflare (Workers și Durable Objects) și își stochează datele acolo. Fiecare conexiune este criptată cu HTTPS (TLS), iar browserelor li se cere să folosească doar HTTPS pe qrwait.app și pe toate subdomeniile sale (HSTS, un an).

Paginile au o politică strictă de securitate a conținutului (Content Security Policy): scripturile se încarcă doar de la QR Wait și Cloudflare, iar niciun alt site nu poate afișa QR Wait într-un cadru.

Cloudflare declară că deține validări ISO/IEC 27001, ISO/IEC 27701 și ISO/IEC 27018 (Cloudflare Trust Hub). Acestea aparțin Cloudflare; QR Wait nu deține nicio certificare proprie.

2. Conturi și conectare

• Parolele sunt stocate doar ca hash PBKDF2-SHA-256 cu salt. O parolă nouă care apare în breșe de date cunoscute este refuzată; pentru această verificare, doar primele 5 caractere ale hashului SHA-1 al parolei părăsesc QR Wait (k-anonimitate).
• Conectare în doi pași cu o aplicație de autentificare (TOTP), cu coduri de recuperare de unică folosință. Proprietarii văd care membri ai echipei au activat-o.
• Membrii echipei au un rol (proprietar, manager sau operator) și, dacă accesul le este limitat, deschid doar cozile care le-au fost atribuite.
• După 5 conectări eșuate la un cont în 24 de ore, conectarea necesită și o verificare anti-bot (Cloudflare Turnstile).
• Se trimite un e-mail atunci când cineva se conectează la cont dintr-un browser nou.
• O sesiune se încheie după 14 zile de neutilizare; schimbarea parolei sau „Deconectează celelalte dispozitive” le încheie pe toate celelalte.
• Linkurile de verificare, de resetare a parolei și de invitație sunt de unică folosință și se stochează doar hashurile lor.

3. Limitarea cererilor

Cererile sunt limitate pentru fiecare adresă IP la marginea rețelei Cloudflare: conectarea, înregistrarea și resetarea parolei la 10 pe minut, intrarea în coadă la 60 pe minut, API-ul REST la 120 pe minut pentru fiecare cheie și 120 pe minut pentru fiecare adresă IP.

4. Datele clienților

• Clienților nu li se cere niciodată un număr de telefon sau o adresă de e-mail. Numele se cere doar dacă afacerea activează această opțiune pentru coadă.
• Un bon, împreună cu numele și răspunsurile din formularul de înscriere pe care le conține, se șterge cel târziu la 24 de ore după intrarea în coadă, indiferent de setările cozii.
• Locația nu este stocată. Când o coadă verifică locația, împreună cu bonul se păstrează doar distanța până la coadă și momentul măsurării.
• Codul QR afișat pe ecranul operatorului se schimbă la fiecare 15–75 de secunde și fiecare cod este valabil 1–5 minute, așa că o fotografie trimisă în altă parte nu permite nimănui să intre.
• Acțiunile operatorilor din panou sunt înregistrate timp de 30 de zile; linkurile de operator pot fi retrase oricând.

5. Copii de siguranță

Ce nu poate fi refăcut (conturile, setările cozilor, soldurile de bonuri) este exportat zilnic în Cloudflare R2 și criptat înainte de a fi scris: fiecare parte cu propria cheie AES-256-GCM, care este la rândul ei criptată cu o cheie publică (RSA-OAEP). Cheia privată care le deschide este păstrată offline. Exporturile se păstrează 35 de zile.

Bonurile nu ajung niciodată într-o copie de siguranță: conțin numele clienților și există cel mult o zi.

6. Integrări

• Webhookurile sunt semnate (HMAC-SHA256 cu marcaj temporal) cu un secret afișat o singură dată și sunt trimise doar către adrese https publice. Ele conțin doar numere și ore, cu excepția cazului în care afacerea permite numele pentru un endpoint.
• Cheile API sunt afișate o singură dată și stocate doar ca hash SHA-256. O cheie fie doar citește, fie și scrie, și poate fi revocată oricând.
• Detalii pentru dezvoltatori: documentația API și webhook (în engleză).

7. Subîmputerniciți

Aceste companii prelucrează date în numele QR Wait pentru a furniza serviciul:

Notificările din browser trec prin serviciul push al browserului clientului. Modul în care datele ies din Turcia și din UE este explicat în politica de confidențialitate.

8. Raportarea unei vulnerabilități

Scrie la hello@qrwait.app cu subiectul „Security”. Confirmăm primirea în 3 zile lucrătoare și trimitem o primă evaluare în 10 zile lucrătoare. Te rugăm să păstrezi problema pentru tine până când este remediată și să testezi doar cu propriile conturi și cozi.

Nu vom iniția acțiuni în justiție împotriva cercetărilor care respectă cu bună-credință aceste reguli. Nu există un program de recompense plătite (bug bounty). Același contact, în format citibil automat: security.txt.