امنیت
آخرین بازبینی: ۱۴ مهر ۱۴۰۴
امنیت در هوشانا یک کار پیوسته است، نه یک ویژگی که روشن و خاموش شود. این صفحه اصولی را می‌گوید که رعایت می‌کنیم.
احراز هویت و نشست
- ورود فقط از طریق Google OAuth انجام می‌شود.
- نشست با کوکی امضاشده (HMAC) نگهداری می‌شود، با کلیدهای
httpOnlyوSecure. - خروج، نشست را باطل می‌کند؛ نشست قبلی دیگر کار نمی‌کند.
- درخواست‌های حساس با توکن CSRF محافظت می‌شوند.
دسترسی به داده
- هر فایل آپلودی فقط برای همان حساب قابل خواندن است.
- آپلودها با نام تصادفی ذخیره می‌شوند و ۲۴ ساعت اعتبار دارند.
- درخواست‌های بین‌کاربری با بررسی مالکیت رد می‌شوند، حتی اگر شناسه را حدس بزنید.
- کلیدهای API فقط هش‌شده ذخیره می‌شوند.
محتوای کاربر
متن فایل‌ها و نتایج جستجو، داده هستند نه دستور. این محتوا داخل پیام کاربر منتقل می‌شود و هرگز به‌عنوان پیام سطح‌بالا (system یا developer) ارتقا نمی‌یابد، بنابراین دستور احتمالی داخل یک فایل نمی‌تواند اختیار بیشتری نسبت به درخواست کاربر پیدا کند.
انتقال و سربرگ‌ها
- همه ارتباط‌ها روی HTTPS با HSTS اجباری.
- سیاست امنیتی محتوا (CSP) فعال است و بارگذاری منابع از دامنه‌های بیرونی را محدود می‌کند.
- درخواست‌های خارج از مرورگر فقط با کلید API معتبر پذیرفته می‌شوند.
آزمون
بازبینی امنیتی دوره‌ای روی این سرویس انجام می‌شود. جزئیات فنی این بازبینی‌ها منتشر نمی‌شود، چون انتشار آن‌ها به امنیت کاربران آسیب می‌زند.
گزارش یک مشکل
اگر مشکلی پیدا کردید، آن را از همان راهی گزارش کنید که برای پشتیبانی محصول استفاده می‌کنید. لطفاً تا زمانی که بررسی می‌شود آن را عمومی نکنید.
این صفحه عمداً جزئیات پیاده‌سازی، ساختار زیرساخت و نتایج آزمون را منتشر نمی‌کند.