Securitate index9

Versiune: 1.1, actualizata la 29 aprilie 2026.

Aceasta pagina descrie masurile de securitate pe care index9 trebuie sa le respecte si limitele lor. Nu folosim afirmatii decorative sau certificari care nu sunt inca documentate public.

1. Principii

Securitatea index9 se bazeaza pe patru reguli:

1. acces minim necesar;
2. secretele nu se afiseaza in loguri sau UI;
3. datele clientului nu se expun altui client;
4. orice incident trebuie tratat rapid, documentat si comunicat conform legii.

2. Autentificare

Parolele trebuie stocate ca hash, nu in clar. Resetarea parolei trebuie facuta prin link temporar si cu protectii impotriva abuzului.

Pentru conturi de business si acces administrativ, activarea 2FA/passkey trebuie prioritizata in roadmap.

3. Chei API si credentiale 999.md

Credentialele si cheile API sunt date sensibile. Ele trebuie:

• criptate la nivel aplicativ;
• mascate in UI si loguri;
• rotite cand exista suspiciune de expunere;
• asociate strict contului care le-a adaugat;
• folosite doar pentru functionalitatile cerute de utilizator.

4. Plati

Datele complete de card nu trebuie stocate in index9. Platile sunt procesate prin furnizori specializati precum Stripe, iar index9 trebuie sa pastreze doar identificatori, statusuri de abonament si informatii de facturare necesare.

Webhook-urile de plata trebuie validate prin semnatura. Endpointurile de billing nu trebuie sa accepte evenimente nesemnate.

5. Izolarea datelor

Dashboardul trebuie sa respecte ownership-ul datelor:

• un utilizator vede doar datele proprii si agregatele publice permise;
• datele de competitor se afiseaza public doar agregat sau din surse publice;
• datele unui cont 999.md conectat nu devin dataset public.

6. Monitorizare si backup

Sistemul trebuie sa aiba:

• health checks pentru API si frontend;
• loguri de erori fara secrete;
• backup-uri regulate ale bazei de date;
• procedura de restaurare testata;
• alerte pentru plati, autentificare si erori critice.

7. AI si protectia datelor

Cand folosim modele AI, trebuie sa trimitem doar datele necesare pentru task. Nu trebuie trimise parole, tokenuri, chei API, date card sau informatii personale inutile.

Rezultatele AI sunt recomandari. Utilizatorul trebuie sa poata revizui si confirma actiunile importante.

8. Incident response

In caz de incident:

1. izolam cauza;
2. rotim secretele afectate;
3. verificam logurile;
4. restauram serviciul;
5. documentam cauza;
6. notificam utilizatorii sau autoritatile cand legea cere acest lucru.

9. Ce nu promitem

Nu promitem securitate absoluta, audit extern finalizat sau certificari care nu sunt publicate. Cand aceste procese vor fi finalizate, le vom afisa cu data, scope si dovada verificabila.

Pentru raportari de securitate: security@index9.site.