Безопасность
Обновлено: 8 июля 2026
Безопасность заложена в CarsEXP на уровне архитектуры, а не добавлена сверху. Здесь — технические и организационные меры, которые защищают ваш сервис и данные ваших клиентов.
Хостинг в ЕС и резидентность данных
CarsEXP работает на инфраструктуре в Евросоюзе, оператор — юрлицо ЕС (GBO Eesti OÜ, Эстония). В штатной работе данные не покидают ЕС.
Строгая изоляция тенантов
Каждый автосервис — отдельный тенант. Данные изолированы сразу на двух уровнях: Row-Level Security в PostgreSQL (FORCE RLS, база проверяет каждый запрос) плюс фильтр по организации на уровне приложения. Запрос без валидного контекста тенанта отклоняется по умолчанию — один сервис физически не может прочитать данные другого.
Шифрование
Весь трафик шифруется TLS (HTTPS везде, автопродление сертификатов). Данные на диске защищены шифрованием на уровне провайдера. Пароли не хранятся в открытом виде — только соль+хэш; passkeys используют криптографию с открытым ключом и не передают общий секрет.
Сильная беспарольная аутентификация
Вход поддерживает passkeys (WebAuthn), национальный eID (Smart-ID / Mobiil-ID) и одноразовые коды по e-mail или SMS. Сессии — в HTTP-only cookie с серверным сроком жизни; режим поддержки «войти как тенант» строго read-only и ограничен по времени.
Контроль доступа и аудит
Каждое действие проверяется по ролям и правам (RBAC). Значимые изменения пишутся в неизменяемый аудит-лог: записи связаны хеш-цепочкой (любая правка рвёт цепочку), ключевые записи подписаны (Ed25519) для целостности.
Целостность денег и платежей
Суммы хранятся как точные десятичные (никогда не float), со снимками цен в строках наряда и счёта. Платежи и вебхуки провайдеров идемпотентны — повтор не спишет и не проведёт дважды.
Резервные копии и доступность
База регулярно резервируется, здоровье сервисов мониторится. Наши сервисы изолированы от посторонних нагрузок на той же инфраструктуре.
Приватность и ваши права (GDPR)
Для данных клиентов, которые вносит сервис, контролёр — сам сервис, а CarsEXP — обработчик; доступно соглашение об обработке данных (DPA). Данные организации можно выгрузить в любой момент. Подробности — в Политике конфиденциальности.
Сообщить об уязвимости
Если вы нашли проблему безопасности — напишите на security@carsexp.com. Мы приветствуем ответственное раскрытие и отвечаем оперативно.