Zaufanie i bezpieczeństwo w DNSPeek

Dla każdego linku przechowujemy to, co jest potrzebne do jego obsługi:

• nazwę linku, Twoją domenę, adres IP i porty nowego serwera oraz tryb SSL;
• ustawienia opcjonalne: adres starej strony do porównań, hasło (jako hash), datę wygaśnięcia, przestrzeń, do której należy;
• kto go utworzył, w którym obszarze roboczym i kiedy. W przypadku linku gościa bez konta – zamiast tego adres IP odwiedzającego.

Raporty QA i porównania wizualne przechowują w Twoim obszarze roboczym to, dla czego zostały uruchomione, np. wyniki i zrzuty ekranu.

Proxy podglądu przepisuje strony w pamięci w drodze do odwiedzającego i nie zapisuje treści stron. Dla każdego żądania loguje link, kod odpowiedzi, czas odpowiedzi, adres IP i przeglądarkę odwiedzającego (user agent) oraz czas. Ten log to bufor cykliczny: przechowywanych jest tylko ok. 100 000 najnowszych żądań w całej usłudze, starsze wpisy są usuwane.

Podczas sesji porównania na żywo proxy zapisuje też, co odpowiedział każdy serwer (status, typ treści oraz nagłówki cache i bezpieczeństwa), aby wskazać, co na nowym serwerze działa gorzej. Treść stron, wartości plików cookie i nagłówki żądań inne niż Referer i Sec-Fetch-Dest nigdy nie są zapisywane, a te notatki wygasają po 30 minutach.

• Hasła do kont i hasła do linków do podglądu są przechowywane jako hashe bcrypt, nigdy jawnym tekstem.
• Klucze API są przechowywane jako hashe SHA-256 i pokazywane tylko raz, gdy je tworzysz lub wymieniasz.
• Dane logowania, które podajesz dla raportu QA chronionej strony, są przechowywane w postaci zaszyfrowanej i po zapisaniu nie są już nigdy pokazywane.
• Próby wpisania hasła do chronionych linków do podglądu są ograniczane, aby uniemożliwić zgadywanie.

Każda odpowiedź serwowana przez link do podglądu ma nagłówek X-Robots-Tag: noindex, nofollow, który zastępuje to, co wysyła sama strona. Podgląd Twojej strony nigdy nie powinien konkurować z prawdziwą stroną w wynikach wyszukiwania.

Każdy podgląd dostaje własną subdomenę w domenie oddzielnej od panelu DNSPeek, a pliki cookie ustawiane przez Twój serwer pozostają pod adresem tego podglądu. Dzięki temu skrypty na podglądanej stronie nie mają dostępu do Twojej sesji DNSPeek ani do plików cookie innych linków.

• Każdy nowy link jest sprawdzany na listach zagrożeń Google (Web Risk). Link, którego domena figuruje na liście jako phishing lub złośliwe oprogramowanie, jest wyłączany; opcjonalne skanowanie strony wstrzymuje podgląd do weryfikacji, jeśli oceni stronę jako szkodliwą. Zobacz Sprawdzanie bezpieczeństwa stron.
• Prowadzimy listę zablokowanych domen, adresów IP i zakresów, których podglądy nie mogą używać.
• Adresy sieci prywatnych i adresy pętli zwrotnej są odrzucane przy tworzeniu linku, a proxy sprawdza każdy adres ponownie przed połączeniem, więc podglądu nie da się skierować na sieć wewnętrzną.
• Linki gościa mają limit: maksymalnie 5 na godzinę i jeden aktywny link na adres IP.
• Każdy może zgłosić podgląd przez formularz zgłaszania nadużyć; zasady opisuje nasza Polityka dozwolonego użytkowania.

• Uwierzytelnianie dwuskładnikowe z aplikacją uwierzytelniającą i kodami zapasowymi oraz klucze dostępu.
• E-maile bezpieczeństwa, których nie można wyłączyć: gdy zmienia się uwierzytelnianie dwuskładnikowe lub hasło, gdy dodano lub usunięto klucz dostępu, gdy sesje zostały wylogowane albo gdy nastąpiło logowanie z nowego urządzenia.
• W planach zespołowych listy dozwolonych adresów IP ograniczają obszar roboczy do zatwierdzonych sieci. Zobacz Listy dozwolonych adresów IP.
• Plik cookie logowania ma atrybut HttpOnly, więc skrypty na stronie nie mogą go odczytać.

Panel, API, proxy podglądów i procesy w tle działają w kontenerach na serwerze, którym administrujemy sami. Zapytania do DNSPeek przechodzą przez Cloudflare, który zapewnia DNS, TLS i ochronę przed atakami. Konta, linki i dane rozliczeniowe są przechowywane w zarządzanej bazie PostgreSQL w Supabase.

Raporty o błędach przechowuje Sentry w swoim regionie UE (Frankfurt). Analityka produktu działa tylko za Twoją zgodą i przechowuje ją PostHog w UE. Statystyki odwiedzin bez plików cookie: adres IP, kraj od Cloudflare, usuwane po 90 dniach, nigdy nieudostępniane.

Aktualny stan każdej części usługi: strona statusu.

Potrzebujesz dokładnych lokalizacji hostingu do oceny dostawcy lub bezpieczeństwa? Napisz na support@dnspeek.link.

Te firmy przetwarzają dane w naszym imieniu, żeby DNSPeek działał. Operatorzy płatności otrzymują dane tylko wtedy, gdy płacisz za ich pośrednictwem. Co dokładnie otrzymuje każda z nich, opisuje strona o prywatności.

Kopia zapasowa bazy danych powstaje co 24 godziny. Ostatnie 14 kopii zostaje na naszym serwerze razem z zapasową bazą odświeżaną z każdej kopii, więc usługa może się na nią przełączyć, gdy główna baza jest niedostępna.

Zaszyfrowane kopie są też przechowywane poza serwerem w Cloudflare R2: 14 dziennych, 8 tygodniowych i 6 miesięcznych. Każde wydanie, które zmienia strukturę bazy, najpierw tworzy świeżą kopię, a odtwarzanie przebiega według spisanej procedury.

Kopię zapasową mogą pobrać tylko właściciele platformy po ponownym potwierdzeniu tożsamości; każde pobranie jest zapisywane w dzienniku i zgłaszane e-mailem wszystkim właścicielom. Zrzuty ekranu i pliki raportów nie są kopiowane: można je wygenerować ponownie.

Pobierz kopię swoich danych w formacie JSON lub samodzielnie usuń konto w Ustawienia → Dane i prywatność, bez pisania do wsparcia. Usunięcie konta usuwa Twój osobisty obszar roboczy wraz z linkami, raportami i porównaniami. Zobacz Eksport danych lub usunięcie konta.

Jeśli przestaniesz płacić, nic nie zostanie usunięte: obszar roboczy przechodzi na darmowy plan, a płatne funkcje zostają wstrzymane. Zobacz Co się dzieje po przejściu na niższy plan.

Znalazłeś lukę w DNSPeek? Napisz na support@dnspeek.link: kroki do odtworzenia, adres, którego dotyczy, i co mógłby zrobić atakujący.

• Testuj tylko na własnym koncie i własnych linkach do podglądu.
• Nie przeglądaj, nie zmieniaj i nie usuwaj cudzych danych, a gdy na nie trafisz, przerwij.
• Żadnych ataków DoS, spamu, socjotechniki ani ataków fizycznych.
• Daj nam rozsądny czas na poprawkę, zanim upublicznisz problem.

Potwierdzimy otrzymanie zgłoszenia i damy znać, gdy problem zostanie naprawiony. Ten kontakt jest też opublikowany w security.txt.

Klienci biznesowi mogą na prośbę otrzymać umowę powierzenia przetwarzania danych (DPA): napisz na support@dnspeek.link.

Przeczytaj naszą stronę prywatności i plików cookie, regulamin oraz Politykę dozwolonego użytkowania. Masz pytanie o bezpieczeństwo lub prywatność? Napisz na support@dnspeek.link.