Un furnizor de securitate care cere acces la site-ul tău ar trebui să poată arăta cum se protejează pe sine. Iată cum operăm, pe înțeles, inclusiv părțile nefinalizate.
O stare apare ca verificată doar cât timp dovada ei este recentă. Când o verificare nu a mai rulat de mult, interfața spune Necunoscut în loc să rămână verde.
Fiecare capabilitate are o responsabilitate clară, o stare operațională și dovezi care explică rezultatul.
Generezi un raport pe o perioadă și dă un verdict pentru fiecare măsură din Articolul 21, citând exact înregistrările din spate și purtând un hash de conținut, ca cititorul să vadă că nu a fost modificat. O măsură fără dovezi recente apare Necunoscut, niciodată ca trecută. Trei dintre cele zece sunt organizaționale, iar documentul spune limpede că nu le observăm.
Pentru site-urile găzduite pe infrastructura noastră, un agent de lângă scanner citește zilnic conținutul web și raportează ce a găsit — niciodată fișierele în sine. Un web shell e raportat ca fiind critic, un instalator împachetat ca o pacoste, iar o scanare care nu s-a terminat nu rezolvă nimic. Site-urile găzduite în altă parte au nevoie de un agent pe serverul acela.
Un skimmer de carduri nu atinge niciodată serverul: apare ca încă un script pe pagina de checkout și citește numărul din formular înainte ca propriul tău cod să îl vadă. Așa că urmărim din singurul loc unde el există — browserul vizitatorului. Pui un fragment în pagină; raportează structură și niciodată conținut, și doar pe paginile care au un câmp de parolă sau de plată. Prima raportare e o linie de referință tăcută, pentru că un script pe care l-ai încărcat dintotdeauna nu e o noutate.
Passkeys și coduri unice, sesiuni care stau pe serverul nostru, nu în browserul tău, și o a doua verificare înainte de orice acțiune sensibilă.
Fiecare punere în producție înregistrează sursa, checksum-urile și comanda exactă de revenire — iar calea de întoarcere este exersată.
Separarea între clienți este impusă de baza de date însăși. Conținutul cererilor, adresele și datele personale nu sunt colectate pentru analiză.
Traseul vizitatorului rămâne scurt. Configurarea, verificarea și rollback-ul rămân vizibile operatorului la fiecare etapă.
Contactul de securitate și canalul de raportare sunt publicate, nu ascunse după un formular.
Fiecare capabilitate arată ce e disponibil, ce e doar observat și ce nu e încă construit.
Dacă o stare e verde fără dovadă recentă, e o eroare — spune-ne.
AegiFlow nu transformă lipsa dovezilor într-un zero liniștitor. Fiecare stare indică sursa, prospețimea și acțiunea următoare.
Cum se comportă această capabilitate în producție — ancorat în operarea documentată, actuală a platformei.
Identitate self-hosted cu passkeys și verificare step-up, sesiuni opace pe server, versiuni imuabile cu checksum-uri și rollback exersat, backupuri criptate off-site cu exerciții lunare de restaurare și un security.txt public cu un canal real de raportare. Trust Center-ul arată stările capabilităților cu aceeași onestitate pe care dashboardul o arată clienților.
Proprietatea, certificatul, sănătatea originului și rollback-ul trebuie verificate înainte de schimbarea protecției traficului.