Политика безопасности

Версия: 1.2
Дата вступления в силу: 15 сентября 2026 г.
Оператор: LLC «Foroney»
Контакт (security): security@foroney.com
Область: экосистема Foroney — инфраструктура, платформы, API, продукты и Foroney ID

Настоящая Политика безопасности («Политика») описывает принципы, организационные и технические меры, которые LLC «Foroney» («Foroney», «мы», «нас», «наш») применяет для защиты аккаунтов, данных, продуктов и собственной инфраструктуры.

Документ носит информационный характер: он объясняет подход Foroney к безопасности и не заменяет Условия использования или Политику конфиденциальности. Конкретный набор мер может отличаться по продукту и этапу зрелости; мы стремимся к единому базовому уровню защиты по всей экосистеме.

Foroney ID — слой идентичности экосистемы. Меры ниже распространяются на него и на платформенные / инфраструктурные компоненты, на которых работают Сервисы.

Связанные документы:

Актуальная редакция: https://foroney.com/security. Текст публикуется в Markdown на CDN Foroney; PDF — для скачивания и архива.

1. Термины и определения

Термин	Значение
Сервисы	Экосистема Foroney: инфраструктура, платформы, API, сайты, приложения, панели, Foroney ID и иные продукты Foroney
Экосистема	Связанные продукты и сервисы Foroney на общей инфраструктуре и с общими правилами доступа
Инфраструктура	Вычисления, сети, хранение, доставка контента, шлюзы, микросервисы и сопутствующие системы Foroney
Foroney ID	Единый аккаунт и точка авторизации экосистемы
Аккаунт	Учётная запись Foroney ID
Пользователь	Физическое или уполномоченное лицо, использующее Сервисы
Клиент / OAuth-клиент	Приложение, которому Пользователь может выдать доступ в рамках scopes
Инцидент	Событие, которое фактически или потенциально нарушает конфиденциальность, целостность или доступность данных / Сервисов
Уязвимость	Слабость в ПО, конфигурации или процессе, которую можно использовать для нарушения безопасности
Секрет	Ключи API, пароли сервисов, токены, сертификаты и иные учётные данные систем

Заголовки даны для удобства и не влияют на толкование Политики.

2. Цели и принципы

2.1. Цели

защитить аккаунты Foroney ID, сессии и доступ к сервисам экосистемы;
защитить инфраструктуру, API, данные продуктов и производственные секреты;
снизить риски несанкционированного доступа, утечек, подмены данных и злоупотреблений;
обеспечить возможность своевременного обнаружения и реагирования на инциденты;
поддерживать безопасную разработку, поставку и эксплуатацию Сервисов;
дать Пользователям понятные рекомендации по безопасной работе с Аккаунтом.

2.2. Принципы

защита в глубину — несколько независимых уровней контроля, а не одна «точка силы»;
минимальные привилегии (least privilege) — доступ только к необходимому;
минимизация данных — собираем и храним то, что нужно для целей Сервисов (см. Политику конфиденциальности);
безопасный по умолчанию дизайн — безопасные настройки и потоки там, где это разумно возможно;
прозрачность в разумных пределах — публичные политики без раскрытия деталей, которые облегчили бы атаку;
непрерывное улучшение — разбор инцидентов и регулярный пересмотр мер по мере роста экосистемы.

3. Область действия

3.1. Политика охватывает:

Foroney ID (регистрация, вход, восстановление доступа, 2FA, сессии, OAuth / SSO);
веб-сайты, приложения и панели экосистемы Foroney;
публичные и внутренние API, шлюзы и платформенные сервисы;
инфраструктуру и среды, в которых размещаются Сервисы;
процессы разработки, CI/CD, управления доступом сотрудников и подрядчиков — в части, влияющей на безопасность Сервисов.

3.2. Политика не гарантирует безопасность устройств Пользователя, его локальной сети, сторонних Клиентов после передачи данных по согласию, а также сайтов третьих лиц по ссылкам из Сервисов.

3.3. Отдельные продукты могут публиковать дополнительные требования (например, для разработчиков API). При противоречии приоритет имеет более специфичный документ продукта, если иное не указано явно.

4. Защита аккаунта Foroney ID

4.1. Что делает Foroney

Мы поддерживаем (и развиваем по мере зрелости продукта):

хранение паролей только в виде криптографического хеша (без хранения пароля в открытом виде);
подтверждение адреса электронной почты;
двухфакторную аутентификацию (2FA), где доступна;
управление активными сессиями и возможность выхода;
защиту от массового перебора и злоупотреблений (rate limiting, блокировки / задержки — по архитектуре);
уведомления о значимых событиях безопасности (например, сброс пароля, новый вход), где внедрено;
ограничение или приостановку Аккаунта при обоснованных подозрениях в компрометации или злоупотреблении (см. Условия использования).

4.2. Рекомендации Пользователю

используйте уникальный и достаточно сложный пароль для Foroney ID;
включите 2FA, как только функция доступна;
не передавайте пароль, коды 2FA и recovery-коды третьим лицам (включая «поддержку» в мессенджерах);
не вводите учётные данные на сайтах, которые не принадлежат Foroney;
выходите из сессий на чужих и общих устройствах;
регулярно проверяйте список активных сессий / устройств (если функция доступна);
при подозрении на несанкционированный доступ немедленно:
1. смените пароль;
2. завершите чужие сессии;
3. напишите на security@foroney.com.

4.3. Ответственность Пользователя

Вы отвечаете за сохранность учётных данных Аккаунта и за действия, совершённые с его использованием, пока не сообщили нам о компрометации и не приняли доступные меры по ограничению доступа. Подробнее — в Условиях использования.

5. Аутентификация, авторизация и API

5.1. Foroney ID и SSO

потоки входа и согласия проектируются с учётом типовых угроз (фишинг redirect’ов, фиксация сессии, подмена параметров);
для клиентских приложений экосистемы поддерживаются (по мере готовности API) протоколы семейства OAuth 2.0 / OpenID Connect;
проверяются redirect URI и иные параметры запроса в соответствии с конфигурацией Клиента;
Пользователь видит запрашиваемые разрешения (scopes) перед выдачей согласия, где это предусмотрено интерфейсом.

5.2. Сессии и токены

срок жизни сессий и токенов ограничивается архитектурой Сервиса;
применяются меры против типовых атак на сессии и токены (в т.ч. привязка к контексту, ротация — по продукту);
выход из Аккаунта делает соответствующие cookie / токены сессии непригодными в разумные сроки.

5.3. Доступ к API и инфраструктурным интерфейсам

доступ к защищённым API — по ключам, токенам, ролям или иным механизмам авторизации продукта;
секреты Клиентов и сервисные учётные данные не должны встраиваться в публичный клиентский код;
к инфраструктурным панелям и админ-интерфейсам применяется усиленный контроль доступа и аудит.

5.4. Сторонние Клиенты

После выдачи согласия дальнейшая обработка данных Клиентом регулируется его политикой. Foroney не контролирует безопасность сторонних приложений. Отзывайте доступ Клиентам, которым больше не доверяете (если функция доступна в Аккаунте).

6. Инфраструктура и платформа

6.1. Среды и сегментация

разделение окружений (например, development / staging / production) — по мере зрелости процессов;
сетевая и логическая сегментация критичных компонентов;
ограничение прямого доступа к production из неутверждённых сетей и учётных записей.

6.2. Управление доступом сотрудников и подрядчиков

доступ к системам и данным — по роли и необходимости (need-to-know / least privilege);
учётные записи сотрудников персонализируются; общие «shared»-аккаунты на production по возможности не используются;
доступ пересматривается при смене роли или прекращении сотрудничества;
подрядчики получают доступ только в объёме договора и задач.

6.3. Секреты и конфигурация

секреты не хранятся в открытом виде в репозиториях исходного кода;
используются хранилища секретов / переменные окружения CI и runtime — по архитектуре;
ротация ключей и сертификатов выполняется при компрометации или по регламенту продукта.

6.4. Доступность и устойчивость

мониторинг работоспособности критичных сервисов — по мере внедрения;
резервное копирование и процедуры восстановления для компонентов, где потеря данных критична;
плановые работы и инциденты доступности могут сопровождаться статусом на сайте / в каналах Foroney (когда такие каналы опубликованы).

7. Сеть и криптография

7.1. Публичные веб-интерфейсы и API Foroney обслуживаются с использованием TLS (HTTPS) для защиты данных при передаче.

7.2. Внутренние критичные соединения также стремятся защищать шифрованием канала или эквивалентными мерами — по архитектуре.

7.3. Чувствительные данные при хранении (at rest) защищаются средствами платформы хранения и/или шифрованием приложения — в объёме, предусмотренном архитектурой конкретного Сервиса.

7.4. Мы не публикуем полный перечень алгоритмов и длин ключей в этом документе, чтобы не облегчать атаки; конфигурация обновляется по мере отраслевых рекомендаций.

8. Защита данных

8.1. Состав обрабатываемых данных, цели, сроки и права субъектов — в Политике конфиденциальности; кратко для пользователя — Мои данные; формальный регламент — Обработка персональных данных.

8.2. С точки зрения безопасности мы:

ограничиваем доступ сотрудников и систем к персональным и производственным данным;
разделяем среды и роли, чтобы снизить риск массовой выгрузки;
контролируем передачу данных подрядчикам по договорам с обязательствами конфиденциальности и безопасности;
применяем журналирование доступа к чувствительным операциям — где это внедрено и соразмерно.

8.3. Специальные категории персональных данных в стандартных Сервисах экосистемы (включая стандартный Foroney ID) намеренно не собираются.

9. Безопасная разработка и поставка ПО

9.1. Изменения в код и инфраструктуру проходят через систему контроля версий (GitLab) и, как правило, code review / merge request.

9.2. CI-пайплайны могут включать проверки типов, линтеры, тесты и иные автоматические контроли — по мере зрелости репозитория.

9.3. Доступ к production-секретам и праву деплоя разграничивается; разделение ролей «разработка / выкладка» применяется там, где это практически возможно.

9.4. Зависимости и базовые образы обновляются с учётом известных уязвимостей в разумные сроки после обнаружения / публикации.

9.5. Конфигурация веб-клиентов и API проектируется с учётом типовых рисков (XSS, CSRF, инъекции, небезопасные redirect’ы и т.п.) — в объёме, применимом к конкретному стеку.

10. Журналирование, мониторинг и обнаружение

10.1. Foroney ведёт журналы событий, необходимых для безопасности, антифрода, диагностики и исполнения обязанностей по закону (например, события входа, сброса пароля, выдачи OAuth-согласия — в объёме продукта).

10.2. Доступ к журналам ограничен; сроки хранения согласуются с Политикой конфиденциальности и операционной необходимостью.

10.3. По мере зрелости внедряются мониторинг аномалий, оповещения и процедуры эскалации. Отсутствие конкретной метрики в публичном документе не означает отсутствие контроля.

11. Поставщики и третьи стороны

11.1. Для хостинга, почты, мониторинга, CDN и иных функций Foroney может привлекать обработчиков / поставщиков.

11.2. Отбор поставщиков учитывает требования безопасности и конфиденциальности; с ними заключаются договоры (включая поручение обработки персональных данных — где применимо).

11.3. Foroney не переносит на Пользователя ответственность за выбор поставщика, но и не гарантирует абсолютную безопасность инфраструктуры третьей стороны сверх договорных и разумных мер контроля.

12. Сообщения об уязвимостях (responsible disclosure)

12.1. Если вы обнаружили уязвимость в Сервисах Foroney, сообщите нам конфиденциально:

security@foroney.com
Тема письма, например: Security report.

В сообщении по возможности укажите:

затронутый URL / продукт / компонент;
описание и шаги воспроизведения;
потенциальное влияние;
ваши контактные данные для уточнений.

12.2. Мы просим:

не эксплуатировать уязвимость дальше, чем нужно для подтверждения;
не получать доступ к данным других Пользователей и не нарушать работу Сервисов;
не публиковать детали до согласования сроков раскрытия с Foroney;
не использовать социальную инженерию против сотрудников и Пользователей.

12.3. Foroney рассмотрит обращение в разумный срок, оценит критичность и сообщит о статусе, если вы оставили рабочий контакт. Публичная программа bug bounty на момент v1.1 может отсутствовать; условия вознаграждения, если появятся, будут опубликованы отдельно.

12.4. Добросовестные исследователи, соблюдающие этот раздел, не будут рассматриваться как злоумышленники только на основании факта ответственного сообщения об уязвимости.

13. Реагирование на инциденты

При выявлении инцидента, затрагивающего безопасность Пользовательских данных или критичной инфраструктуры, мы в разумные сроки:

локализуем и устраняем угрозу (или снижаем её влияние);
оцениваем масштаб, затронутые данные и причины;
уведомляем затронутых Пользователей и/или уполномоченные органы — когда это требуется законом или разумно необходимо для защиты Пользователей;
фиксируем выводы и улучшаем меры защиты (post-incident review).

Канал для сообщений о подозрении на инцидент: security@foroney.com (тема, например: Security incident).

Сроки и форма уведомлений зависят от применимого права, критичности и фактических обстоятельств. Мы не раскрываем оперативные детали расследования публично, если это мешает устранению угрозы.

14. Организационные меры

Помимо техники Foroney применяет организационные меры, в том числе:

назначение ответственных за доступ к production и секретам;
инструкции для сотрудников по обращению с персональными данными и инцидентами;
ограничение использования производственных данных в целях разработки / тестирования (предпочтение синтетическим или обезличенным наборам);
контроль изменений в критичных конфигурациях.

Перечень внутренних регламентов не публикуется полностью.

15. Ограничения

15.1. Никакая система не гарантирует абсолютную безопасность. Остаточный риск всегда существует (в т.ч. zero-day, атаки на цепочку поставок, компрометация устройства Пользователя, социальная инженерия).

15.2. Foroney не отвечает за:

безопасность устройств, ОС, браузеров и сетей Пользователя;
действия лиц, получивших доступ к Аккаунту из‑за слабого пароля, утечки кода 2FA или фишинга на стороне Пользователя;
политику и защиту сторонних Клиентов после выдачи согласия;
форс-мажор и события вне разумного контроля Foroney.

15.3. Ограничение ответственности в договорных отношениях с Пользователем определяется Условиями использования и применимым правом.

16. Изменения Политики

16.1. Политика может обновляться по мере развития инфраструктуры, экосистемы продуктов, угроз и требований закона.

16.2. Актуальная версия всегда доступна по адресу https://foroney.com/security и на CDN Foroney.

16.3. Существенные изменения доводятся до сведения Пользователей разумным способом (например, уведомление в Сервисе, письмо или заметка о версии на странице). Продолжение использования Сервисов после вступления изменений в силу означает ознакомление с обновлённой Политикой в части, не требующей отдельного согласия по закону.

17. Применимое право

Если иное не предусмотрено императивными нормами, толкование Политики и споры, связанные с её применением как информационного документа Foroney, рассматриваются в соответствии с правом, применимым к отношениям по Условиям использования, и компетенцией судов / органов, указанной там.

18. Прочие положения

18.1. Если какое-либо положение Политики признано недействительным, остальные сохраняют силу.

18.2. Бездействие Foroney в отношении нарушения не означает отказ от прав.

18.3. Язык. Политика составлена на русском языке. Переводы (если появятся) носят справочный характер; при расхождении приоритет имеет русская версия, если иное не требуется законом.

18.4. Заголовки разделов даны для удобства.

19. Контакты

Вопрос	Контакт
Уязвимости и security report	security@foroney.com · тема `Security report`
Подозрение на инцидент	security@foroney.com · тема `Security incident`
Аккаунт, 2FA, доступ	supports@foroney.com
Конфиденциальность / ПДн	privacy@foroney.com · Политика конфиденциальности
Юридические вопросы	legal@foroney.com

Оператор: LLC «Foroney».