Безопасность

Ваши данные — только ваши

Эта страница описывает подход к безопасности продукта. Перед публичным запуском список мер будет сверён с фактической реализацией после отдельного аудита безопасности.

Важно: мы намеренно не заявляем о мерах защиты, которые ещё не подтверждены аудитом. Итоговая редакция этой страницы должна отражать только реально работающие механизмы.

Принципы

Критические проверки выполняются на сервере, а не только в интерфейсе.
Доступ к данным привязывается к единому аккаунту и серверной сессии.
MAX используется как способ подтверждения личности, а не как отдельная база пользователей.
Права семейного доступа и подписки должны проверяться на сервере при каждом защищённом действии.
Секреты и токены не должны попадать в браузер.

Перед публичным запуском

Запланированы проверка авторизации и сессий, попытки обхода прав, IDOR, XSS, CSRF/SSRF по применимости, CORS, ограничение частоты запросов, анализ зависимостей и секретов, проверка MAX initData, платёжных webhook, журналирования и резервного копирования.

Сообщить о проблеме

Если вы нашли уязвимость, напишите в поддержку или на personalcenter.auth@mail.ru и не публикуйте подробности до исправления.