Keamanan di Hex256
Kami menjual alat keamanan, jadi wajar kalau Anda memeriksa kami lebih dulu. Halaman ini menjelaskan apa yang sudah berjalan, apa yang belum, dan bagaimana menghubungi kami. Kami tidak menjamin sistem tidak pernah ditembus. Tidak ada yang bisa menjamin itu, dan kami lebih memilih jujur soal batasnya.
Kontrol yang kami jalankan
| Kontrol | Penjelasan | Status |
|---|---|---|
| Enkripsi saat transit | Seluruh lalu lintas ke situs dan aplikasi memakai TLS. Header HSTS, CSP, X-Content-Type-Options dan Permissions-Policy dipasang, dan kami memeriksa situs kami sendiri dengan pemeriksa yang sama yang kami jual. | Berjalan |
| Minimisasi data | Hasil cek gratis hanya disimpan di memori paling lama 1 jam. Salinan repo dihapus setelah pemindaian dan yang disimpan hanya temuan dengan potongan yang sudah disamarkan. Nilai secret tidak disimpan, hanya hash-nya. | Berjalan |
| Isolasi antar-tenant | Setiap data workspace membawa pengenal tenant dan setiap kueri aplikasi dibatasi pada tenant pengguna yang sedang masuk. Isolasi ini diterapkan di lapisan aplikasi, bukan di tingkat database terpisah. | Berjalan |
| Login tanpa kata sandi | Masuk lewat tautan sekali pakai yang dikirim ke email. Tidak ada kata sandi yang kami simpan. | Berjalan |
| Peran dan hak akses | Anggota workspace punya peran viewer, admin atau owner. Tindakan sensitif memerlukan peran yang lebih tinggi. | Berjalan |
| Audit log | Tindakan penting di workspace dan tindakan staf tercatat dengan pelaku dan waktu. Log audit keamanan disimpan 1 tahun. | Berjalan |
| API key | Hanya hash SHA-256 yang disimpan. Nilai key ditampilkan sekali saat dibuat dan dapat dicabut kapan saja. | Berjalan |
| Kredensial integrasi | Kredensial cloud pelanggan disimpan terenkripsi (envelope encryption). Akses ke repo memakai GitHub App dengan izin baca. | Berjalan |
| Retensi dan penghapusan | Data workspace dihapus 90 hari setelah kontrak berakhir, dengan masa ekspor data. Rinciannya ada di kebijakan privasi. | Berjalan |
| Pemindaian terhadap aset sendiri | Pemindaian aktif hanya setelah kepemilikan domain terverifikasi dan aturan keterlibatan disetujui pelanggan. | Berjalan |
| Autentikasi multi-faktor dan SSO (SAML/OIDC) | Belum tersedia untuk akun pelanggan. Login tautan email adalah satu-satunya metode saat ini. | Direncanakan |
| Uji penetrasi oleh pihak independen | Belum dilakukan. Ringkasan hasil akan kami sediakan setelah selesai. | Direncanakan |
| Sertifikasi ISO 27001 atau SOC 2 | Belum dimiliki. Kami belum mengklaim sertifikasi apa pun. | Direncanakan |
| Penyimpanan data di Indonesia | Lokasi server dicantumkan di daftar subprosesor. Opsi memilih wilayah data belum tersedia. | Direncanakan |
Data pribadi dan pihak ketiga
- Kebijakan privasi: data apa yang kami kumpulkan, dasar hukumnya dan masa simpannya.
- Daftar subprosesor: pihak yang membantu kami menjalankan layanan, data yang mereka terima dan lokasinya.
- Pertanyaan pelindungan data pribadi: [email protected].
Melaporkan kerentanan
Jika Anda menemukan kerentanan di layanan Hex256, kirim laporan ke [email protected]. Sertakan langkah untuk mereproduksi dan dampak yang Anda lihat. Berkas /.well-known/security.txt memuat kontak yang sama.
- Kami berusaha mengakui laporan dalam waktu dekat dan memberi kabar perkembangannya. Kami belum menetapkan SLA tertulis.
- Uji dengan akun milik Anda sendiri. Jangan mengakses, mengubah atau menyimpan data pelanggan lain.
- Jangan melakukan serangan penolakan layanan atau rekayasa sosial terhadap staf.
- Beri kami waktu yang wajar untuk memperbaiki sebelum Anda mempublikasikan temuan.
- Kami belum menjalankan program bug bounty berbayar.
Butuh dokumen untuk penilaian vendor?
Bank, fintech dan perusahaan teregulasi biasanya meminta kuesioner keamanan, DPA dan ringkasan kontrol. Kirim permintaan Anda dan kami jawab secara tertulis dengan apa adanya.