Security checklist

Перед запуском в production пройдитесь по списку.

Настройки проекта
Настройки проекта

Что проверяет продукт, а что вы

Часть пунктов ниже платформа проверяет сама: ответ берётся из вашего аккаунта, и поставить такую галочку руками нельзя — иначе она перестала бы что-либо значить. Остальные пункты проверить за вас невозможно (чужое хранилище, чужой обработчик, ваш договор), поэтому их вы отмечаете сами. Отметка сохраняется в аккаунте и переживает перезагрузку и смену устройства.

Интерактивный чек-лист виден после входа в аккаунт — состояние берётся из вашего проекта.

Authentication

  • Двухфакторная защита и подтверждение почты — в списке выше, они читаются из аккаунта.
  • [ ] Password strength meter показывает "Сильный"
  • [ ] Session timeout не больше 30 дней

API keys

  • [ ] Все API keys имеют expiration (не "never")
  • [ ] Permissions ограничены (read-only где можно)
  • [ ] Старые keys revoked

Webhooks

  • Проверку подписи на стороне получателя отметьте в списке выше — из платформы это не видно.
  • [ ] Все incoming webhooks имеют signature secret
  • [ ] HTTPS only

Rate limits

  • [ ] Custom rate limits настроены если нужно > defaults
  • [ ] Alerts на превышение

Backups

  • Офсайт-копия и учебное восстановление — в списке выше.
  • [ ] Daily Postgres dump в MinIO

Monitoring

  • [ ] Sentry DSN configured
  • [ ] UptimeRobot probe на /api/health
  • [ ] Alert на error rate > 10/min
  • [ ] Alert на queue depth > 100k

Compliance

  • Актуальность Privacy Policy и Terms of Service — в списке выше.
  • [ ] Cookie banner работает
  • [ ] GDPR data export endpoint доступен
  • [ ] Soft delete работает

Channels

  • [ ] Все bot tokens — production (не sandbox)
  • [ ] Webhook signatures verified
  • [ ] Bot privacy mode (Telegram) — disabled (чтоб бот видел все сообщения в группах)

Sandbox

  • [ ] isolated-vm версия актуальна (security patches)
  • [ ] Memory + CPU лимиты в коде
  • [ ] User scripts в sandbox только

Network

  • [ ] SSL certificate действителен
  • [ ] HSTS preload включён
  • [ ] CSP whitelist actual

Pen-test

  • Внешнюю проверку защищённости отметьте в списке выше.
  • [ ] OWASP Top 10 проверен