Bezpieczeństwo
Ostatnia aktualizacja:
To tłumaczenie udostępnione dla wygody. W razie rozbieżności z angielskim oryginałem rozstrzygająca jest wersja angielska. Przeczytaj angielski oryginał
Najmocniejsza cecha bezpieczeństwa tego produktu wynika z architektury: wrażliwe materiały nigdzie nie wędrują. Oto, co to konkretnie oznacza.
Lokalnie z założenia
CLI agentów działają jako lokalne procesy na Twoim komputerze, na Twoich lokalnych repozytoriach git. Nie ma etapu budowania, który wysyłałby Twój projekt, nie ma zdalnego sandboksa i nie ma kopii Twojej pracy po stronie serwera.
Usługa kont przechowuje dane tożsamości, subskrypcji i urządzeń. Nie ma w niej endpointu, który przyjmowałby kod źródłowy, prompty lub wyjście terminala, więc nie ma tam niczego, co mogłoby wyciec.
Izolacja przez worktree
Każdy agent-worker jest ograniczony do własnego git worktree. Worker nie może nadpisać plików innego workera, a wprowadzane przez niego zmiany można przejrzeć jak zwykły branch, zanim trafią do Twojej głównej linii.
Sekrety
Klucze API i dane logowania CLI są przechowywane w pęku kluczy macOS (Keychain), wyświetlane w ustawieniach w postaci zamaskowanej, nigdy nie są zapisywane w logach i nigdy nie są do nas wysyłane. Stan licencji jest buforowany jako podpisany token, który poza identyfikatorem konta nie zawiera żadnych danych osobowych.
Wersja desktopowa
Wydania dla macOS są podpisywane naszym certyfikatem Developer ID, notaryzowane przez Apple i uruchamiane w środowisku hardened runtime Apple, a strona pobierania podaje SHA-256 każdego instalatora. Aplikacja sprawdza dostępność nowszego wydania na downloads.superdevspace.com i informuje o nim w Ustawieniach; pobiera je i instaluje dopiero po Twoim kliknięciu — nigdy za Twoimi plecami.
Strona internetowa
Ta strona jest statyczna, serwowana z Cloudflare Pages przez HTTPS z HSTS i ma politykę bezpieczeństwa treści (CSP). Nie wczytuje żadnego skryptu podmiotów trzecich poza bezciasteczkowym beaconem Cloudflare Web Analytics, gdy pomiar ruchu jest włączony, ani żadnego fontu z zewnętrznego hosta.
Zgłaszanie podatności
Napisz na adres ds. bezpieczeństwa podany poniżej. Opisz, co znalazłeś i jak to odtworzyć; prosimy o rozsądny czas na poprawkę przed publikacją. Potwierdzimy otrzymanie zgłoszenia w ciągu 3 dni roboczych i będziemy Cię informować aż do jego zamknięcia. Nie prowadzimy jeszcze płatnego programu bug bounty i nie będziemy udawać, że jest inaczej.
Kontakt
SuperDevSpace — Alperen Karagüzel, sprzedawca indywidualny
Türkiye