Trust

Jak je Ablit provozován, co chrání vaše údaje a co zatím nemáme. Vše na této stránce je při aktualizaci ověřeno proti živému systému; tam, kde je kontrola plánována, a nikoli zavedena, je to uvedeno. Dotazy: security@ablit.app.

V kostce

Infrastruktura

• Webová aplikace a edge API: Vercel, serverless funkce nasazené v fra1 (Frankfurt), statická aktiva na globální síti Vercel. API také odpovídá na ide.ablit.app prostřednictvím brány na našem vlastním serveru.
• Databáze: PostgreSQL 18 s pgvector na serveru Hetzner Cloud ve Falkensteinu, dostupná přes PgBouncer přes TLS. Redis na stejném hostiteli pro fronty a krátkodobý stav. Hostitel databáze přijímá připojení pouze z našich vlastních serverů a aplikace.
• Workeři: chatový worker (cloudové běhy, dlouhé úlohy, naplánované úlohy) a stream gateway běží na serveru Hetzner ve stejné soukromé síti.
• Sandboxy nástrojů: bezpečnostní (Kali) pracovní prostředí a prohlížeče agenta běží jako kontejnery na vyhrazeném serveru Hetzner, jedno pracovní prostředí na konverzaci, s firewallem na výstupu.
• Monitorování: Prometheus, Grafana, Loki a vlastně hostovaný tracker chyb Bugsink na samostatném provozním serveru. Kontroly stavu běží každých pět minut a upozorňují administrátory e-mailem.
• E-mail: Resend. Platby: Stripe. Analytika: PostHog EU, podmíněno souhlasem.

Zavedené bezpečnostní kontroly

• Přístup. Servery přijímají SSH pouze s klíči, z administrátorských adres na seznamu povolených vynucovaného firewallem poskytovatele; správní panely jsou pouze přes HTTPS. Aplikační role oddělují uživatele, personál a administrátory; akce administrátorů na účtech jsou logovány.
• Autentizace. E-mail a heslo (hashováno scrypt) nebo přihlášení přes Google; pokusy o přihlášení mají omezenou rychlost; klíče API nesou explicitní oprávnění, platnost a možnost odvolání.
• Tajemství. Klíče poskytovatelů žijí v konfiguraci prostředí na Vercel a hostiteli workera, nikdy ne v repozitáři; známé vzory tajemství jsou odstraněny z uložených trasování vykonávání; klíče API existují v otevřené podobě pouze v okamžiku, kdy jsou vám zobrazeny.
• Síť. Veřejné koncové body jsou pouze přes TLS s HSTS; X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy a rámcová CSP jsou odesílány na každou odpověď. Interní služby (databáze, Redis, exportéry metrik) naslouchají pouze na soukromé síti.
• Izolace. Kontejnery nástrojů nemohou dosáhnout na soukromý adresní prostor, službu metadat ani naše interní služby; každá konverzace dostává vlastní pracovní prostředí.
• Zálohy. Noční pg_dump na hostiteli databáze plus denní snímek serveru Hetzner, obojí rotované po 7 dnech.
• Řízení změn. Všechny změny procházejí pull requesty, jsou sestaveny a nasazeny Vercelem z hlavní větve a před sloučením přezkoumány. Produkční závislosti jsou auditovány na známé zranitelnosti a promptně opravovány (naposledy: upozornění Next.js 16.4.4, tentýž den).
• Zneužití a bezpečnost. Zásada ochrany dětí je vynucována na každém požadavku bez ohledu na nastavení, s incidenty zaznamenanými a oznámenými člověku; signály zneužití mohou pozastavit účet k lidskému přezkumu.
• Reakce na incidenty. Třídění, zadržení, oznámení a přezkum; zákazníci jsou informováni o porušení zabezpečení osobních údajů do 72 hodin od okamžiku, kdy se o něm dozvíme (viz DPA).

Zatím nezavedeno

Raději vám to řekneme, než abyste se domnívali:

• Žádná certifikace SOC 2 nebo ISO 27001 a žádná neprobíhá. Pokud je to důležité pro vaše zadávání zakázek, dejte nám vědět na security@ablit.app; ovlivní to, kdy začneme.
• Zatím žádný penetrační test třetí stranou. První je plánován, jakmile se ustálí současné budování platformy; zpráva bude k dispozici na základě NDA z této stránky.
• Žádné zveřejněné sebehodnocení CSA STAR. Na vyžádání dokážeme vyplnit bezpečnostní dotazník (CAIQ, SIG Lite nebo váš vlastní).
• Žádná záruka šifrování v klidu nad rámec toho, co na své úložiště uplatňují poskytovatelé hostingu. Databázové svazky jsou na blokovém úložišti Hetzner Cloud; šifrování uloženého obsahu na úrovni aplikace není implementováno.
• Žádná veřejná stavová stránka. Banner údržby v produktu a tato stránka jsou dnes jedinými kanály.
• Žádné formální úlohy pro uchovávání trasování vykonávání; mažou se spolu s účtem nebo na žádost, jak uvádějí Zásady ochrany osobních údajů.

Subdodavatelé (další zpracovatelé)

Třetí strany, které pro nás zpracovávají zákaznická data. Poskytovatelé modelů a médií dostávají pouze to, co požadavek potřebuje; který to je, závisí na modelu, který zvolíte. Nezveřejňujeme poskytovatele za jednotlivými modely; firemní zákazníci si mohou seznam vyžádat na základě NDA pro svůj DPA.

Změny se zde zveřejňují nejméně 14 dní předtím, než nový subdodavatel začne nakládat se zákaznickými daty; napište na security@ablit.app pro přímé upozornění. Bugsink, Grafana, Prometheus a Loki jsou vlastně hostovány na našich vlastních serverech Hetzner a nejsou třetími stranami.

Zveřejňování

Pokud v Ablit najdete zranitelnost, napište na security@ablit.app s podrobnostmi a kroky k reprodukci. Potvrdíme příjem do 2 pracovních dnů, budeme vás informovat a uvedeme vás jako autora, pokud si to přejete. Prosíme, nepřistupujte k údajům jiných lidí, nezhoršujte službu ani nezveřejňujte, dokud problém neopravíme; výzkum v dobré víře, který dodržuje tato pravidla, nepovede z naší strany k právním krokům. Strojově čitelný kontakt: /.well-known/security.txt.

Dokumenty

• Zásady ochrany osobních údajů
• Podmínky služby
• Zpracování údajů
• Dodatek o zpracování údajů (protipodepsaná kopie na vyžádání)
• Odpovědi na bezpečnostní dotazník, přehled architektury a, jakmile budou k dispozici, zprávy z penetračních testů: na vyžádání na základě NDA na security@ablit.app

Protokol změn

• 2 November 2026. První verze této stránky. Tentýž den: Next.js opraven pro GHSA-2464-fhr4-w9xw a GHSA-673q-mjm6-r5xr, aktualizovány undici a zod, přidány bezpečnostní hlavičky a security.txt.