Trust

Ako je Ablit prevádzkovaný, čo chráni vaše údaje a čo zatiaľ nemáme. Všetko na tejto stránke sa pri aktualizácii overuje voči živému systému; tam, kde je kontrolný mechanizmus plánovaný, a nie zavedený, je to uvedené. Otázky: security@ablit.app.

V skratke

Infraštruktúra

• Edge webovej aplikácie a API: Vercel, serverless funkcie nasadené v fra1 (Frankfurt), statické aktíva na globálnej sieti Vercel. API tiež odpovedá na ide.ablit.app cez gateway na našom vlastnom serveri.
• Databáza: PostgreSQL 18 s pgvector na serveri Hetzner Cloud vo Falkensteine, dostupná cez PgBouncer over TLS. Redis na tom istom hoste pre fronty a krátkodobý stav. Databázový host prijíma pripojenia iba z našich vlastných serverov a aplikácie.
• Workery: chatový worker (cloudové behy, dlhé úlohy, naplánované úlohy) a stream gateway bežia na serveri Hetzner v tej istej súkromnej sieti.
• Sandboxy nástrojov: pracovný priestor bezpečnosti (Kali) a prehliadače agenta bežia ako kontajnery na vyhradenom serveri Hetzner, jeden pracovný priestor na konverzáciu, s egress firewallom.
• Monitoring: Prometheus, Grafana, Loki a vlastne hostovaný error tracker Bugsink na samostatnom prevádzkovom serveri. Kontroly stavu bežia každých päť minút a upozorňujú administrátorov e-mailom.
• E-mail: Resend. Platby: Stripe. Analytika: PostHog EU, podmienené súhlasom.

Zavedené bezpečnostné kontroly

• Prístup. Servery prijímajú SSH iba s kľúčmi, z povolených administrátorských adries vynútených firewallom poskytovateľa; manažérske panely sú iba cez HTTPS. Aplikačné role oddeľujú používateľov, personál a administrátorov; administrátorské akcie na účtoch sú logované.
• Autentifikácia. E-mail a heslo (scrypt hash) alebo prihlásenie cez Google; pokusy o prihlásenie sú obmedzené rýchlosťou; API kľúče nesú explicitné oprávnenia, platnosť a zrušenie.
• Tajomstvá. Kľúče poskytovateľov sú v konfigurácii prostredia na Vercel a na hostiteľovi workera, nikdy v repozitári; známe vzory tajomstiev sa z uložených záznamov vykonávania odstraňujú; API kľúče existujú v otvorenej podobe iba v okamihu, keď sa vám zobrazia.
• Sieť. Verejné endpointy sú iba cez TLS s HSTS; X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy a framing CSP sa posielajú v každej odpovedi. Interné služby (databáza, Redis, exportéry metrík) počúvajú iba na súkromnej sieti.
• Izolácia. Kontajnery nástrojov nemôžu dosiahnuť súkromný adresný priestor, metadátovú službu ani naše interné služby; každá konverzácia dostane vlastný pracovný priestor.
• Zálohy. Nočný pg_dump na databázovom hostiteľovi plus denná snímka servera od Hetzner, obe rotované po 7 dňoch.
• Správa zmien. Všetky zmeny prechádzajú cez pull requesty, Vercel ich zostavuje a nasadzuje z hlavnej vetvy a sú preskúmané pred zlúčením. Produkčné závislosti sú auditované na známe zraniteľnosti a promptne opravované (naposledy: upozornenia pre Next.js 16.4.4, v ten istý deň).
• Zneužitie a bezpečnosť. Politika ochrany detí sa vynucuje pri každej požiadavke bez ohľadu na nastavenia, pričom incidenty sa zaznamenávajú a upozorňuje sa na ne osoba; signály zneužitia môžu pozastaviť účet na preskúmanie človekom.
• Reakcia na incidenty. Triáž, zadržanie, oznámenie a preskúmanie; zákazníci sú upovedomení o porušeniach ochrany osobných údajov do 72 hodín od toho, čo sa o nich dozvieme (pozri DPA).

Zatiaľ nezavedené

Radšej vám to povieme, než aby ste predpokladali:

• Žiadna certifikácia SOC 2 ani ISO 27001 a žiadna neprebieha. Ak to pre vaše obstarávanie záleží, povedzte to na security@ablit.app; ovplyvní to, kedy začneme.
• Zatiaľ žiaden penetračný test tretej strany. Prvý je plánovaný, keď sa súčasná výstavba platformy ustáli; správa bude dostupná na základe NDA z tejto stránky.
• Žiadne zverejnené CSA STAR sebahodnotenie. Na požiadanie dokážeme vyplniť bezpečnostný dotazník (CAIQ, SIG Lite alebo váš vlastný).
• Žiadna záruka šifrovania v pokoji nad rámec toho, čo hostingoví poskytovatelia uplatňujú na svoje úložisko. Databázové zväzky sú na blokovom úložisku Hetzner Cloud; šifrovanie uloženého obsahu na úrovni aplikácie nie je implementované.
• Žiadna verejná stavová stránka. Banner údržby v produkte a táto stránka sú dnešné kanály.
• Žiadne formálne úlohy uchovávania pre záznamy vykonávania; vymažú sa spolu s účtom alebo na žiadosť, ako uvádzajú Zásady ochrany súkromia.

Subdodávatelia

Tretie strany, ktoré spracúvajú zákaznícke údaje pre nás. Poskytovatelia modelov a médií dostávajú iba to, čo požiadavka potrebuje; ktorý z nich to je, závisí od modelu, ktorý si vyberiete. Nezverejňujeme poskytovateľa za každým modelom; firemní zákazníci si môžu zoznam vyžiadať na základe NDA pre svoj DPA.

Zmeny sa tu zverejňujú aspoň 14 dní pred tým, ako nový subdodávateľ spracuje zákaznícke údaje; napíšte na security@ablit.app, aby ste boli upovedomení priamo. Bugsink, Grafana, Prometheus a Loki sú vlastne hostované na našich serveroch Hetzner a nie sú tretími stranami.

Zverejnenie

Ak nájdete zraniteľnosť v Ablit, napíšte na security@ablit.app s podrobnosťami a krokmi na reprodukciu. Potvrdíme do 2 pracovných dní, budeme vás informovať a uvedieme vás, ak budete chcieť. Prosím, nepristupujte k údajom iných ľudí, nedegradujte službu ani nezverejňujte skôr, ako problém opravíme; výskum v dobrej viere, ktorý dodržiava tieto pravidlá, nepovedie z našej strany k právnym krokom. Strojovo čitateľný kontakt: /.well-known/security.txt.

Dokumenty

• Zásady ochrany súkromia
• Podmienky služby
• Spracúvanie údajov
• Dodatok o spracúvaní údajov (spolupodpísaná kópia na požiadanie)
• Odpovede na bezpečnostný dotazník, prehľad architektúry a, keď budú dostupné, správy z penetračných testov: na požiadanie na základe NDA na security@ablit.app

Záznam zmien

• 2 November 2026. Prvá verzia tejto stránky. V ten istý deň: Next.js opravený pre GHSA-2464-fhr4-w9xw a GHSA-673q-mjm6-r5xr, aktualizované undici a zod, pridané bezpečnostné hlavičky a security.txt.