Безопасность и контроль данных

Что действует в публичной версии

• RUFAME не принимает и не хранит деньги или ценные бумаги;
• системные каталоги закрываются на уровне OpenResty;
• форма использует CSRF-токен, подготовленные SQL-запросы и ограничение повторных отправок;
• приём персональных данных по умолчанию разрешён только через HTTPS.

Разделение публичной и закрытой частей

Публичный лендинг не подключается к данным закрытой части. Защищённый контур использует собственную авторизацию, проверку статуса пользователя, ограничение сессии и журнал событий входа.

Операции и подтверждение

RUFAME не является брокером. В будущей рабочей версии любое действие, связанное с исполнением операции, должно требовать отдельного явного подтверждения пользователя и не будет выполняться публичной страницей.

Что действует в защищённом контуре

• bcrypt-хеширование паролей и ограничение попыток входа;
• автоматическое завершение неактивных сессий;
• проверка статуса и версии авторизации пользователя;
• журнал успешных и неуспешных входов;
• роли admin, user и readonly;
• административная панель с CSRF-защитой и отзывом сессий;
• журнал административных действий без паролей и токенов.

Что будет добавлено

• двухфакторная авторизация для администраторов;
• резервное копирование и контроль целостности данных ядра;
• расширенный журнал действий внутри Capital OS.

Честные ограничения

Ни одна система не может гарантировать абсолютную защиту, непрерывную работу или инвестиционную доходность. Сообщения об уязвимостях можно направлять на security@rufame.ru без публикации чувствительных данных.