Безопасность

1. Хостинг и шифрование

QR Wait работает в сети Cloudflare (Workers и Durable Objects) и хранит там свои данные. Каждое соединение зашифровано по HTTPS (TLS), а браузерам предписано использовать на qrwait.app и всех его поддоменах только HTTPS (HSTS, один год).

Страницы отдаются со строгой политикой безопасности контента (CSP): скрипты загружаются только с QR Wait и Cloudflare, и никакой другой сайт не может показать QR Wait во фрейме.

Cloudflare заявляет, что прошла проверку на соответствие ISO/IEC 27001, ISO/IEC 27701 и ISO/IEC 27018 (Cloudflare Trust Hub). Это сертификаты Cloudflare; у самого QR Wait сертификации нет.

2. Аккаунты и вход

• Пароли хранятся только в виде хеша PBKDF2-SHA-256 с солью. Новый пароль, встречающийся в известных утечках данных, отклоняется; для этой проверки из QR Wait уходят только первые 5 символов его хеша SHA-1 (k-анонимность).
• Двухэтапный вход через приложение-аутентификатор (TOTP) с одноразовыми кодами восстановления. Владельцы видят, кто из команды его включил.
• У членов команды есть роль (владелец, менеджер или сотрудник), а при ограничении они открывают только выданные им очереди.
• После 5 неудачных попыток входа в аккаунт за 24 часа для входа нужна ещё и проверка на бота (Cloudflare Turnstile).
• При входе в аккаунт из нового браузера отправляется письмо.
• Сеанс заканчивается после 14 дней без использования; смена пароля или «Выйти на других устройствах» завершает все остальные.
• Ссылки для подтверждения, сброса пароля и приглашений одноразовые, хранятся только их хеши.

3. Ограничения запросов

Запросы ограничиваются для каждого IP-адреса на периферии сети Cloudflare: вход, регистрация и сброс пароля — 10 в минуту, вход в очередь — 60 в минуту, REST API — 120 в минуту на ключ и 120 в минуту на IP-адрес.

4. Данные посетителей

• У посетителей никогда не спрашивают номер телефона или адрес эл. почты. Имя спрашивают, только если заведение включило это для очереди.
• Билет вместе с именем и ответами из формы удаляется не позднее чем через 24 часа после входа в очередь, при любых настройках очереди.
• Местоположение не хранится. Если очередь проверяет местоположение, с билетом сохраняются только расстояние до очереди и время измерения.
• QR-код на экране сотрудника меняется каждые 15–75 секунд, и каждый код действует 1–5 минут, так что пересланное фото никого не пропустит.
• Действия сотрудников в панели записываются в журнал на 30 дней; ссылки сотрудников можно отозвать в любой момент.

5. Резервные копии

То, что нельзя восстановить (аккаунты, настройки очередей, балансы билетов), ежедневно выгружается в Cloudflare R2 и шифруется перед записью: каждая часть — своим ключом AES-256-GCM, который, в свою очередь, шифруется открытым ключом (RSA-OAEP). Закрытый ключ, которым они открываются, хранится офлайн. Выгрузки хранятся 35 дней.

Билеты никогда не попадают в резервную копию: в них есть имена посетителей, и живут они не больше суток.

6. Интеграции

• Вебхуки подписываются секретом, который показывается один раз (HMAC-SHA256 с меткой времени), и отправляются только на публичные https-адреса. Они содержат только номера и время, если заведение не разрешило имена для адреса.
• API-ключи показываются один раз и хранятся только как хеш SHA-256. Ключ либо только читает, либо ещё и пишет; его можно отозвать в любой момент.
• Подробности для разработчиков: справочник по API и вебхукам (на английском).

7. Субподрядчики

Эти компании обрабатывают данные по поручению QR Wait, чтобы сервис работал:

Уведомления в браузере идут через push-сервис браузера самого посетителя. Как данные передаются за пределы Турции и ЕС, объясняет политика конфиденциальности.

8. Как сообщить об уязвимости

Напишите на hello@qrwait.app с темой «Security». Мы подтвердим получение в течение 3 рабочих дней и пришлём первую оценку в течение 10 рабочих дней. Пожалуйста, никому не раскрывайте проблему до исправления и проверяйте только на своих аккаунтах и очередях.

Мы не будем преследовать по закону исследования, добросовестно соблюдающие эти правила. Платной программы вознаграждений нет. Те же контакты в машиночитаемом виде: security.txt.