Bezpečnost

Každá součást Clementu běží v Evropské unii. Infrastrukturu mimo EHP nevyužíváme.

• Cloudflare R2 — šifrované úložiště souborů, region EU.
• Convex — serverless databáze se šifrovanými připojeními, region EU.
• Railway — hosting backendového API, region EU.
• Vercel — hosting frontendu s EU edge doručováním.
• Clerk — ověřování a správa identit, datová rezidence v EU.

Data jsou chráněna v klidovém stavu i při přenosu:

• Šifrování v klidovém stavu: všechny soubory uložené na Cloudflare R2 jsou šifrovány pomocí AES-256.
• Šifrování při přenosu: veškerá připojení využívají minimálně TLS 1.2. Kde je to podporováno, používáme TLS 1.3.
• Databázová připojení: všechna připojení ke Convex využívají šifrované kanály s ověřením certifikátů.
• Správa klíčů: šifrovací klíče jsou spravovány na úrovni infrastruktury a nejsou nikdy vystaveny kódu aplikace.

Ve všech systémech uplatňujeme přísné řízení přístupu:

• Řízení přístupu na základě rolí (RBAC): přístup k produkčním systémům mají pouze oprávněné osoby v souladu s principem nejmenšího oprávnění.
• Protokolování auditu: veškerý přístup k produkčním datům a infrastruktuře je zaznamenáván.
• Žádné sdílené přihlašovací údaje: každá služba a člen týmu používá samostatné, individuálně omezené přihlašovací údaje.
• Pravidelné přehledy přístupu: přístupová práva jsou pravidelně přezkoumávána a odvolávána při personálních změnách.

Ověřování uživatelů zajišťuje Clerk, specializovaný poskytovatel identity:

• Hesla neukládáme. Přihlašovací údaje jsou spravovány výhradně prostřednictvím Clerk.
• Vícefaktorové ověřování (MFA) je dostupné a doporučeno pro všechny uživatele.
• Tokeny relací jsou krátkodobé a kryptograficky podepsané.
• Všechny autentizační procesy jsou chráněny proti běžným útokům včetně brute force, credential stuffing a session hijacking.