Доверие и безопасность в DNSPeek

Для каждой ссылки мы храним то, что нужно для её работы:

• имя ссылки, ваш домен, IP-адрес и порты нового сервера, режим SSL;
• необязательные настройки: адрес старого сайта для сравнения, пароль (в виде хеша), срок действия, пространство, к которому она относится;
• кто её создал, в каком рабочем пространстве и когда. Для гостевой ссылки без аккаунта — вместо этого IP-адрес посетителя.

QA-отчёты и визуальные сравнения хранят в вашем рабочем пространстве то, ради чего вы их запускали, например результаты и скриншоты.

Прокси превью переписывает страницы в памяти по пути к посетителю и не сохраняет их содержимое. Для каждого запроса записываются ссылка, код ответа, время ответа, IP-адрес и браузер посетителя (user agent) и время запроса. Этот журнал — кольцевой буфер: по всему сервису хранятся лишь примерно 100 000 последних запросов, более старые записи удаляются.

Во время сеанса живого сравнения прокси также отмечает, что ответил каждый сервер (статус, тип содержимого, заголовки кеширования и безопасности), чтобы показать, что на новом сервере хуже. Тела страниц, значения cookie и заголовки запросов, кроме Referer и Sec-Fetch-Dest, никогда не записываются, а сами эти заметки удаляются через 30 минут.

• Пароли аккаунтов и пароли ссылок-превью хранятся в виде хешей bcrypt, а не открытым текстом.
• API-ключи хранятся в виде хешей SHA-256 и показываются только один раз — при создании или перевыпуске.
• Данные для входа, которые вы указываете в QA-отчёте для защищённого сайта, хранятся в зашифрованном виде и после сохранения больше не показываются.
• Попытки ввода пароля на защищённых ссылках-превью ограничены по частоте, чтобы пароль нельзя было подобрать.

Каждый ответ ссылки-превью содержит заголовок X-Robots-Tag: noindex, nofollow, который заменяет всё, что отправляет сам сайт. Превью вашего сайта никогда не должно конкурировать с настоящим сайтом в результатах поиска.

Каждое превью получает собственный поддомен на домене, отдельном от кабинета DNSPeek, а файлы cookie, которые устанавливает ваш сервер, остаются на адресе этого превью. Поэтому скрипты на просматриваемом сайте не могут получить доступ к вашему сеансу в DNSPeek или к cookie другой ссылки.

• Каждая новая ссылка проверяется по спискам угроз Google (Web Risk). Ссылка, домен которой внесён в списки за фишинг или вредоносные программы, отключается; необязательное сканирование страницы приостанавливает превью до проверки, если признаёт страницу вредоносной. Подробнее — в разделе Проверки безопасности сайта.
• Мы ведём список заблокированных доменов, IP-адресов и диапазонов, которые нельзя использовать в превью.
• Адреса частных сетей и loopback-адреса отклоняются при создании ссылки, а прокси повторно проверяет каждый адрес перед подключением, поэтому превью нельзя направить во внутреннюю сеть.
• Гостевые ссылки ограничены: не более 5 в час и одна активная ссылка на IP-адрес.
• Любой может пожаловаться на превью через форму жалобы на злоупотребление; правила описаны в наших Правилах допустимого использования.

• Двухфакторная аутентификация через приложение-аутентификатор с резервными кодами, а также ключи доступа.
• Письма о безопасности, которые нельзя отключить: при изменении двухфакторной аутентификации или пароля, при добавлении или удалении ключа доступа, при завершении сеансов и входе с нового устройства.
• На командных тарифах списки разрешённых IP ограничивают доступ к рабочему пространству одобренными сетями. Подробнее — в разделе Списки разрешённых IP.
• Cookie входа помечен как HttpOnly, поэтому скрипты на странице не могут его прочитать.

Панель, API, прокси превью и фоновые обработчики работают в контейнерах на сервере, который мы администрируем сами. Запросы к DNSPeek проходят через Cloudflare: DNS, TLS и защита от атак. Аккаунты, ссылки и записи об оплатах хранятся в управляемой базе PostgreSQL в Supabase.

Отчёты об ошибках хранит Sentry в своём регионе ЕС (Франкфурт). Продуктовая аналитика работает только с вашего согласия, её хранит PostHog в ЕС. Статистика посещений сайта без cookie: IP-адрес, страна от Cloudflare, удаляется через 90 дней, никому не передаётся.

Текущее состояние каждой части сервиса: страница статуса.

Нужны точные локации хостинга для проверки поставщика или безопасности? Напишите на support@dnspeek.link.

Эти компании обрабатывают данные от нашего имени, чтобы DNSPeek работал. Платёжные провайдеры получают данные, только когда вы платите через них. Подробнее о том, что получает каждая, — на странице о конфиденциальности.

Резервная копия базы данных создаётся каждые 24 часа. Последние 14 копий хранятся на нашем сервере вместе с резервной базой, которую обновляют из каждой копии, поэтому сервис может перейти на неё, если основная база недоступна.

Зашифрованные копии также хранятся вне сервера в Cloudflare R2: 14 ежедневных, 8 еженедельных и 6 ежемесячных. Перед каждым релизом, меняющим структуру базы, делается свежая копия, а восстановление выполняется по письменной инструкции.

Скачать резервную копию могут только владельцы платформы после повторного подтверждения личности; каждое скачивание записывается в журнал, а всем владельцам приходит письмо. Скриншоты и файлы отчётов не копируются: их можно сгенерировать заново.

Скачайте копию своих данных в JSON или удалите аккаунт сами в разделе «Настройки → Данные и конфиденциальность», не обращаясь в поддержку. При удалении аккаунта удаляется ваше личное рабочее пространство со ссылками, отчётами и сравнениями. Подробнее — в статье Экспорт данных и удаление аккаунта.

Если вы перестанете платить, ничего не удалится: рабочее пространство перейдёт на бесплатный тариф, а платные функции будут приостановлены. Подробнее — в статье Что происходит после перехода на тариф ниже.

Нашли уязвимость в DNSPeek? Напишите на support@dnspeek.link: шаги для воспроизведения, адрес, где она есть, и что может сделать злоумышленник.

• Проверяйте только на своём аккаунте и своих ссылках-превью.
• Не просматривайте, не меняйте и не удаляйте чужие данные; остановитесь, как только наткнётесь на них.
• Никаких DoS-атак, спама, социальной инженерии или физических атак.
• Дайте нам разумное время на исправление, прежде чем публиковать проблему.

Мы подтвердим, что получили сообщение, и скажем, когда проблема исправлена. Этот контакт также опубликован в security.txt.

Бизнес-клиенты могут получить соглашение об обработке данных (DPA) по запросу: напишите на support@dnspeek.link.

Ознакомьтесь с нашей страницей о конфиденциальности и cookie, условиями использования и Правилами допустимого использования. Есть вопрос о безопасности или конфиденциальности? Напишите на support@dnspeek.link.