Безпека

1. Хостинг і шифрування

QR Wait працює в мережі Cloudflare (Workers і Durable Objects) і там зберігає свої дані. Кожне з'єднання зашифроване за допомогою HTTPS (TLS), а браузерам вказано використовувати на qrwait.app і всіх його піддоменах лише HTTPS (HSTS, один рік).

Сторінки мають сувору політику безпеки вмісту (CSP): скрипти завантажуються лише з QR Wait і Cloudflare, і жоден інший сайт не може показати QR Wait у фреймі.

Cloudflare заявляє, що має підтвердження відповідності ISO/IEC 27001, ISO/IEC 27701 і ISO/IEC 27018 (Cloudflare Trust Hub). Це сертифікати Cloudflare; сам QR Wait сертифікації не має.

2. Акаунти та вхід

• Паролі зберігаються лише як хеш PBKDF2-SHA-256 із сіллю. Новий пароль, що трапляється у відомих витоках даних, відхиляється; для цієї перевірки з QR Wait виходять лише перші 5 символів його хешу SHA-1 (k-анонімність).
• Двоетапний вхід через застосунок-автентифікатор (TOTP) з одноразовими кодами відновлення. Власники бачать, хто з команди його ввімкнув.
• Члени команди мають роль (власник, менеджер або працівник), а якщо їх обмежено, відкривають лише видані їм черги.
• Після 5 невдалих спроб входу в акаунт за 24 години для входу потрібна ще й перевірка на бота (Cloudflare Turnstile).
• Коли в акаунт входять з нового браузера, надсилається лист.
• Сеанс завершується після 14 днів без використання; зміна пароля або «Вийти на інших пристроях» завершує всі інші.
• Посилання для підтвердження, скидання пароля та запрошень одноразові, зберігаються лише їхні хеші.

3. Обмеження запитів

Запити обмежуються для кожної IP-адреси на краю мережі Cloudflare: вхід, реєстрація та скидання пароля — 10 на хвилину, вхід у чергу — 60 на хвилину, REST API — 120 на хвилину на ключ і 120 на хвилину на IP-адресу.

4. Дані відвідувачів

• Відвідувачів ніколи не просять номер телефону чи адресу ел. пошти. Ім'я запитують, лише якщо заклад увімкнув це для черги.
• Квиток разом з іменем і відповідями з форми видаляється не пізніше ніж через 24 години після входу в чергу, хоч би які були налаштування черги.
• Місцезнаходження не зберігається. Якщо черга перевіряє місцезнаходження, разом із квитком зберігаються лише відстань до черги та час вимірювання.
• QR-код на екрані працівника змінюється кожні 15–75 секунд, і кожен код діє 1–5 хвилин, тож переслане фото нікого не пропустить.
• Дії працівників у панелі записуються в журнал на 30 днів; посилання працівників можна відкликати будь-коли.

5. Резервні копії

Те, що неможливо відновити (акаунти, налаштування черг, баланси квитків), щодня вивантажується в Cloudflare R2 і шифрується перед записом: кожна частина — власним ключем AES-256-GCM, який, своєю чергою, шифрується відкритим ключем (RSA-OAEP). Закритий ключ, яким їх відкривають, зберігається офлайн. Вивантаження зберігаються 35 днів.

Квитки ніколи не потрапляють у резервну копію: у них є імена відвідувачів, і живуть вони щонайбільше добу.

6. Інтеграції

• Вебхуки підписуються секретом, який показується один раз (HMAC-SHA256 з міткою часу), і надсилаються лише на публічні https-адреси. Вони містять лише номери й час, якщо заклад не дозволив імена для адреси.
• API-ключі показуються один раз і зберігаються лише як хеш SHA-256. Ключ або лише читає, або ще й записує; його можна відкликати будь-коли.
• Подробиці для розробників: довідник з API та вебхуків (англійською).

7. Субобробники

Ці компанії обробляють дані за дорученням QR Wait, щоб сервіс працював:

Сповіщення в браузері йдуть через push-сервіс браузера самого відвідувача. Як дані передаються за межі Туреччини та ЄС, пояснює політика конфіденційності.

8. Як повідомити про вразливість

Напишіть на hello@qrwait.app з темою «Security». Ми підтвердимо отримання протягом 3 робочих днів і надішлемо першу оцінку протягом 10 робочих днів. Будь ласка, нікому не розголошуйте проблему до виправлення й перевіряйте лише на власних акаунтах і чергах.

Ми не вдаватимемося до юридичних дій щодо досліджень, які сумлінно дотримуються цих правил. Платної програми винагород немає. Ті самі контакти в машинозчитуваному вигляді: security.txt.