Безопасность

Ваши данные хранятся в Европейском союзе. Компания EXITO Media LLC, управляющая Сервисом, зарегистрирована в США. В нашей Политике конфиденциальности объясняется, что это означает для ваших данных.

Как взаимодействуют компоненты

• Один сервер с усиленной защитой. Веб-приложение, почтовый сервер Stalwart, которым мы управляем самостоятельно, базы данных PostgreSQL и кеш работают в изолированных контейнерах на нашем сервере. Базы данных, кеш и интерфейс управления почтовым сервером доступны только внутри сервера и никогда не доступны из интернета.
• Содержимое в объектном хранилище. Тексты писем, вложения, файлы Exito Vault и файлы Exito Transfer хранятся в объектном хранилище отдельно от сервера. Файлы Exito Vault и Exito Transfer загружаются и скачиваются напрямую между вашим браузером и хранилищем (Wasabi или Cloudflare R2) по краткосрочным подписанным ссылкам, каждая из которых действует только для одного файла. Поэтому поставщик хранилища также видит ваш IP-адрес.
• Почта передаётся напрямую. Другие почтовые серверы и почтовые приложения, использующие SMTP, IMAP или JMAP на mail.exitomail.com, подключаются напрямую к нашему серверу, не проходя через Cloudflare. Мы отправляем почту с собственных IP-адресов без стороннего ретранслятора.
• Веб-приложение за Cloudflare. Наш сайт и веб-приложение по адресу exitomail.com (веб-почта, а также интерфейсы Exito Vault и Exito Transfer в браузере) доступны через сеть Cloudflare, которая защищает их от атак. Зашифрованное соединение завершается на пограничном узле Cloudflare, который перенаправляет трафик на наш сервер. Это означает, что почта и файлы, открываемые в веб-приложении, при передаче проходят через Cloudflare.

При передаче

• Веб. Все страницы и API доступны по HTTPS с применением HTTP Strict Transport Security (HSTS), чтобы браузеры никогда не переходили на незашифрованные соединения. Сертификаты выпускаются Let's Encrypt и обновляются автоматически.
• Почтовые приложения. IMAP (порт 993) и отправка по SMTP (порты 465 и 587) доступны только через TLS, поэтому пароль и письма никогда не передаются в открытом виде между вашим устройством и нами.
• Между серверами. При обмене почтой с другими провайдерами мы используем STARTTLS, если другая сторона его поддерживает. Мы публикуем политику MTA-STS, чтобы другие серверы знали, что при доставке почты нам необходимо использовать TLS, и получаем отчёты TLS (TLS-RPT), чтобы выявлять проблемы с доставкой. Согласно общепринятой практике электронной почты, если другой сервер не поддерживает TLS и не публикует политику, требующую его использования, письмо может передаваться между серверами без шифрования.

При хранении

Содержимое писем, вложения, файлы Exito Vault, файлы Exito Transfer и резервные копии хранятся в объектном хранилище, которое наши поставщики шифруют при хранении. Перед загрузкой резервные копии дополнительно шифруются на нашем сервере с помощью контролируемого нами ключа.

Аутентификация отправителя

Каждое отправляемое нами письмо подписывается с помощью DKIM с ключами Ed25519 и RSA, а для нашего домена публикуются записи SPF и DMARC, чтобы принимающие серверы могли убедиться, что почта действительно поступила от нас. При подключении собственного домена мы предоставляем вам такие же записи для публикации и проверяем их до начала работы домена.

• Минимальные привилегии. Администрировать наши системы могут лишь несколько конкретно назначенных лиц, и каждому предоставляется только доступ, необходимый для его роли. Доступ регулярно пересматривается и оперативно отзывается, когда кто-либо прекращает работу.
• Только ключи SSH. Для административного доступа к нашему серверу используются ключи SSH. Вход по паролю отключён.
• Многофакторная аутентификация. Мы используем многофакторную аутентификацию в консолях администрирования наших поставщиков услуг хостинга, хранения, DNS и обработки платежей, а также в собственных аккаунтах администраторов.
• Раздельные учётные данные. Каждый компонент Сервиса использует собственные учётные данные только с необходимыми ему разрешениями. Например, у каждой базы данных есть собственная роль.
• Журнал аудита. Административные действия в наших инструментах, например приостановка аккаунта, регистрируются в журнале аудита.

Когда сотрудники могут получать доступ к вашему содержимому

Мы не просматриваем вашу почту, файлы или передачи. Сотрудники получают доступ к содержимому только в следующих необходимых случаях:

• чтобы помочь вам, когда вы просите нас проверить что-то конкретное;
• для расследования проблемы безопасности или сообщения о злоупотреблении; либо
• для выполнения юридической обязанности, как описано в нашей Политике конфиденциальности.

Такой доступ ограничивается объёмом, необходимым для выполнения задачи, и регистрируется в соответствующем обращении в службу поддержки или деле о злоупотреблении.

• Пароли. Пароль должен содержать не менее 10 символов. Мы храним пароли только в виде односторонних хешей с солью и никогда — в открытом виде, поэтому даже мы не можем их увидеть.
• Двухфакторная аутентификация. Для входа можно добавить второй этап с помощью приложения-аутентификатора. Мы настоятельно рекомендуем это сделать, особенно владельцам и администраторам организаций.
• Ограничение частоты попыток входа. Частота попыток входа ограничена, чтобы замедлить подбор пароля.
• Резервный адрес электронной почты. Рекомендуем добавить и подтвердить резервный адрес электронной почты. Ссылки для сброса пароля отправляются только на подтверждённый резервный адрес (и никогда — в почтовый ящик, доступ к которому утрачен), действуют 30 минут, а после сброса пароля завершаются все остальные сеансы.
• Сеансы. Файлы cookie сеанса имеют атрибуты HttpOnly и Secure, а запросы проверяются для защиты от межсайтовой подделки запросов. Сеансы завершаются через 30 дней бездействия. Для изменения пароля, резервного адреса электронной почты или настроек двухфакторной аутентификации, а также для удаления аккаунта требуется текущий пароль.
• Уведомления о безопасности. При изменении пароля мы отправляем уведомление на подтверждённый резервный адрес электронной почты.

• Ключи DKIM. Наш почтовый сервер самостоятельно создаёт ключи подписи DKIM (Ed25519 и RSA). Он меняет их каждые 90 дней для нашего домена и пользовательских доменов, DNS которых он настраивает автоматически.
• Сертификаты TLS. Сертификаты выпускаются и обновляются автоматически, поэтому срок их действия не истекает.
• Секреты. Пароли, ключи API и другие секреты хранятся на сервере вне нашей кодовой базы и доступны для чтения только учётной записи администратора сервера. Они никогда не попадают в репозиторий исходного кода.
• Ключи резервного копирования. Резервные копии шифруются с помощью пары ключей, закрытая часть которой хранится только офлайн и никогда — на наших серверах. Поэтому резервные копии можно восстановить даже при утрате сервера, а для любого, кто получит только их файлы, они будут бесполезны.
• Вебхуки с проверкой подлинности. Уведомления о платежах от Stripe принимаются только при наличии действительной криптографической подписи.
• Ротация. Мы меняем учётные данные, когда прекращает работу кто-либо, имевший к ним доступ, а при подозрении на их раскрытие — немедленно.

• Журналы. Наши серверы хранят журналы безопасности, доступа и доставки почты, включая IP-адреса, в течение 30 дней. Мы используем их для обеспечения работы Сервиса, расследования проблем и выявления злоупотреблений, но никогда — для рекламы или профилирования.
• Автоматический мониторинг. Каждые 5 минут автоматическая система контроля проверяет наши контейнеры, сайт, сервис SMTP, срок действия сертификата IMAPS, свободное место на диске и время создания последней резервной копии, а при любых изменениях уведомляет нас.
• Предотвращение вторжений. IP-адреса, с которых неоднократно не удаётся войти на сервер, блокируются автоматически.
• Отчёты аутентификации почты. Мы проверяем сводные отчёты DMARC и отчёты TLS для нашего домена, чтобы выявлять подделку отправителя и проблемы с доставкой.

• Что входит в резервные копии. Каждую ночь мы создаём дамп каждой из наших баз данных (аккаунты, настройки, метаданные и индексы почты, записи Exito Vault и передач), а также конфигурации сервера.
• Где хранятся. В регионе EU-Central-1 сервиса Wasabi (Амстердам), отдельно от региона во Франкфурте, где хранятся ваша почта и файлы.
• Как защищены. Перед загрузкой резервные копии шифруются на нашем сервере с помощью шифрования с открытым ключом. Закрытый ключ, необходимый для их расшифровки, хранится только офлайн и никогда — на наших серверах.
• Срок хранения. 30 дней с ротацией по скользящему графику. Это также означает, что удалённые вами данные могут оставаться в резервных копиях, пока те не будут удалены в ходе ротации.
• Восстановление. У нас есть документированная процедура повторного развёртывания сервера и восстановления баз данных из резервных копий.

Резервные копии предназначены для восстановления после аварии. Они не используются ни для каких других целей, а при восстановлении из резервной копии мы повторно удаляем все данные, которые уже были удалены.

У нас есть письменная процедура реагирования на инциденты безопасности, в соответствии с которой мы выполняем следующие действия:

1. 1
   Обнаружение
   С помощью автоматического мониторинга и оповещений, сообщений пользователей и исследователей безопасности, а также уведомлений наших поставщиков.
2. 2
   Локализация
   Изолируем затронутые системы, отзываем раскрытые учётные данные и ключи, блокируем вредоносный трафик и приостанавливаем аккаунты нарушителей.
3. 3
   Оценка
   Устанавливаем, что произошло, какие данные и лица затронуты и насколько серьёзен риск, сохраняя при этом доказательства.
4. 4
   Уведомление
   Если GDPR требует уведомления о нарушении безопасности персональных данных, мы уведомляем компетентный надзорный орган в течение 72 часов с момента, когда нам стало известно о нарушении, а при высоком риске для затронутых лиц сообщаем им об этом без неоправданной задержки. Клиентов тарифа Business мы как обработчик их данных уведомляем без неоправданной задержки и в течение 72 часов, как предусмотрено нашим Соглашением об обработке данных. Информацию о перебоях в работе Сервиса мы публикуем на странице статуса.
5. 5
   Восстановление и анализ
   Восстанавливаем работу Сервиса из незатронутых источников, а затем анализируем инцидент, чтобы выявить его первопричину и усовершенствовать наши меры для предотвращения повторения.

• Операционная система. Обновления безопасности устанавливаются автоматически.
• Используемое программное обеспечение. В наших контейнерах используются закреплённые версии программного обеспечения, включая почтовый сервер Stalwart, PostgreSQL и веб-сервер. Мы отслеживаем выпуски обновлений безопасности и оперативно устанавливаем их, предварительно ознакомившись с примечаниями к выпуску и создав резервную копию.
• Зависимости. Мы отслеживаем зависимости нашего приложения и своевременно обновляем их.
• Сообщения сторонних исследователей. Мы приветствуем сообщения исследователей безопасности и устраняем подтверждённые проблемы в целевые сроки, установленные с учётом их серьёзности (см. раздел Ответственное раскрытие информации).

• Проверка. Изменения проверяются перед развёртыванием, а процедуры развёртывания выполняются по сценариям и воспроизводимы.
• Встроенные средства защиты. Строгая типизация кода, проверка входных данных, защита от межсайтовой подделки запросов, ограничение частоты запросов и заголовки безопасности в каждом ответе, включая HSTS, запрет встраивания во фреймы и защиту от определения типа содержимого.
• Раздельные среды. При разработке вместо хранилища и баз данных используются локальные аналоги с вымышленными демонстрационными данными. Рабочие данные никогда не используются для разработки или тестирования, а рабочие секреты никогда не покидают рабочую среду.
• Минимум стороннего кода. На нашем сайте и в приложении не выполняется сторонний код аналитики или рекламы, а телеметрию в сторонних библиотеках мы по возможности отключаем.

Мы ограничиваем число компаний, обрабатывающих ваши данные. При их выборе мы учитываем хранение данных в ЕС, применяемые ими меры безопасности и опубликованные подтверждения соответствия требованиям безопасности. С каждой компанией мы заключаем соглашение об обработке данных и периодически проводим её проверку.

Полный список с указанием функций каждой компании, места обработки данных и применяемых гарантий приведён на нашей странице Субобработчики. Мы объявляем о новых субобработчиках не менее чем за 30 дней до начала обработки ими данных клиентов. Чтобы получать уведомления по электронной почте, напишите по адресу privacy@exitomail.com, указав тему «Subprocessor updates».

Мы открыто рассказываем об архитектуре ExitoMail. Сейчас приложение работает на одном основном сервере в центре обработки данных в ЕС. Содержимое вашей почты и файлов хранится отдельно в объектном хранилище с резервированием, которым управляет поставщик, а зашифрованные резервные копии всех остальных данных — во втором регионе ЕС.

• В случае отказа сервера. Мы следуем документированной процедуре, чтобы заново развернуть сервер на новом оборудовании и восстановить базы данных из последней резервной копии. Поскольку резервные копии создаются каждую ночь, в худшем случае изменения, внесённые после создания последней копии, могут быть утрачены.
• Во время сбоев входящая почта ожидает доставки. Когда наш сервер недоступен, отправляющие почтовые серверы ставят письма в очередь и повторяют попытки доставки — обычно в течение нескольких дней, как того требуют стандарты электронной почты.
• Статус. Информация о плановом техническом обслуживании и перебоях публикуется на нашей странице статуса.

Мы делаем всё возможное, чтобы ExitoMail оставался доступен, но не гарантируем определённый уровень доступности, если не заключили с вами письменное соглашение об уровне обслуживания. Для бесплатного тарифа такое соглашение не предусмотрено.

Защита от спамеров и мошенников обеспечивает безопасность почты всех пользователей: она помогает сохранять хорошую репутацию наших серверов как отправителей, чтобы ваши письма попадали в папку «Входящие».

• Лимиты отправки. Для каждого аккаунта установлен суточный лимит отправки (например, 100 писем в день на тарифе Бесплатный). Для новых аккаунтов лимиты изначально ниже и увеличиваются по мере использования аккаунта и роста доверия к нему.
• Проверки при регистрации. Мы ограничиваем частоту регистраций с одного IP-адреса, отклоняем одноразовые резервные адреса, а форма регистрации защищена проверкой на ботов Cloudflare Turnstile.
• Автоматическое применение мер. Наша автоматизированная система контроля отслеживает жалобы на спам, недоставленные письма, попадание в списки блокировки, результаты проверки на вредоносные программы, признаки захвата аккаунтов и поступившие сообщения. Она может ограничить или приостановить отправку, приостановить аккаунты или домены, заблокировать передачи, поместить файлы в карантин и заблокировать атакующие IP-адреса. Принятые меры обратимы, пользователям сообщается их причина, а каждую апелляцию рассматривает человек (см. Политику допустимого использования).
• Нет открытой ретрансляции. Для отправки всегда требуется аутентификация. Отправлять письма можно только с адресов и доменов, принадлежащих вашему аккаунту.
• Фильтрация. Входящая почта проверяется на спам в нашей собственной инфраструктуре и может проверяться на наличие вредоносных программ. Для этого наши серверы могут искать IP-адрес или домен отправляющего сервера в общедоступных списках блокировки DNS.
• Подтверждённые домены. Собственный домен начинает принимать и отправлять почту только после подтверждения права владения с помощью записи DNS TXT, поэтому никто не может подключить чужой домен.
• Exito Transfer. Мы можем проверять загружаемые файлы на наличие вредоносных программ и блокировать помеченные файлы. Срок действия ссылок всегда ограничен, а получатели могут одним нажатием пожаловаться на передачу.

Чтобы сообщить о спаме, фишинге или другом злоупотреблении, связанном с ExitoMail, напишите по адресу abuse@exitomail.com. Чтобы сообщить о незаконном содержимом в соответствии с Актом ЕС о цифровых услугах, воспользуйтесь нашей процедурой «Уведомление и принятие мер». Наши правила изложены в Политике допустимого использования.

• Общий регламент по защите данных (GDPR). Как американская компания, предлагающая Сервис в ЕС, мы подпадаем под действие GDPR (статья 3(2)). Мы выступаем контролёром в отношении персональных аккаунтов и данных, необходимых для ведения нашей деятельности, как описано в нашей Политике конфиденциальности. В отношении корпоративных клиентов мы выступаем обработчиком в соответствии с нашим Соглашением об обработке данных, а помогающие нам компании перечислены на странице «Субобработчики».
• Акт о цифровых услугах. Как поставщик услуг хостинга, мы используем процедуру уведомления и принятия мер в отношении незаконного содержимого, объясняем свои решения и предоставляем возможность их обжаловать. См. раздел «Уведомление и принятие мер».
• Правила ePrivacy. Мы используем только строго необходимые файлы cookie и технологии хранения данных. См. нашу Политику использования файлов cookie.
• Безопасность детей. Как американский поставщик услуг, мы сообщаем в NCMEC о материалах, предположительно содержащих сексуальное насилие над детьми, как того требует 18 U.S.C. § 2258A.
• ISO/IEC 27001:2022 и ISO/IEC 27701. Наша программа безопасности разработана на основе этих стандартов. Мы не заявляем о наличии сертификации.

Если вы считаете, что обнаружили уязвимость безопасности в ExitoMail, сообщите нам. Мы вместе с вами постараемся разобраться в ней и устранить её и не будем принимать правовые меры в отношении добросовестных исследований, проводимых в соответствии с этой политикой.

Как сообщить об уязвимости

Напишите по адресу security@exitomail.com. Укажите:

• описание уязвимости и затронутый URL, хост или компонент;
• пошаговые инструкции по воспроизведению уязвимости и, если есть, подтверждение концепции (будут полезны снимки экрана или короткое видео);
• предполагаемые последствия и возможный способ эксплуатации уязвимости злоумышленником; а также
• как с вами связаться и хотите ли вы, чтобы мы указали ваше имя.

Если сообщение содержит конфиденциальные сведения, сначала запросите у нас безопасный канал связи. Не отправляйте во вложении вредоносные программы или автоматически запускаемый код эксплойта.

Этот адрес предназначен только для сообщений об уязвимостях безопасности. О спаме или фишинге сообщайте по адресу abuse@exitomail.com, а за помощью с аккаунтом обращайтесь по адресу support@exitomail.com.

Область действия

Входит в область действия:

• exitomail.com и все его поддомены, включая mail.exitomail.com (SMTP, IMAP, JMAP, автоматическая настройка и MTA-STS);
• веб-приложение: веб-почта, Exito Vault (включая ссылки для доступа), Exito Transfer (включая страницы скачивания и ссылки «Запросить файлы»), настройки аккаунта, а также управление командой и адресами для собственных доменов;
• наши API, процессы регистрации, входа, двухфакторной аутентификации и восстановления аккаунта; а также
• обработка нами собственных доменов, например их подтверждение. Собственные домены и сайты клиентов не входят в область действия.

Не входит в область действия:

• атаки типа «отказ в обслуживании», нагрузочное и любое объёмное тестирование;
• социальная инженерия или фишинг в отношении наших сотрудников или пользователей, а также физические атаки на офисы или центры обработки данных;
• рассылка спама или подбор паролей без демонстрации лежащей в их основе уязвимости;
• отсутствие рекомендуемых заголовков или настроек, например заголовка безопасности, без подтверждённого воздействия;
• self-XSS и проблемы, для эксплуатации которых требуется уже скомпрометированное устройство или аккаунт;
• сторонние сервисы как таковые, например Cloudflare, Stripe или Wasabi — сообщайте об уязвимостях их поставщикам; а также
• результаты автоматического сканирования без работающего доказательства концепции.

Правила проведения исследований

• Используйте собственные аккаунты. Проводите тестирование только с аккаунтами, которые создали сами. Не взаимодействуйте с аккаунтами или данными других пользователей без их разрешения.
• Остановитесь, если получили доступ к чужим данным. Если вы обнаружили чужие данные, остановитесь, не сохраняйте, не используйте и не передавайте их и немедленно сообщите нам.
• Минимально необходимое доказательство. Не копируйте и не извлекайте больше данных, чем минимально необходимо для демонстрации проблемы.
• Не причиняйте вреда. Не нарушайте работу Сервиса, не удаляйте и не изменяйте чужие данные и не отправляйте письма людям, которые не соглашались их получать. Соблюдайте ограничения на отправку для своего аккаунта.
• Дайте нам время. Сохраняйте сведения в тайне, пока мы не выпустим исправление или пока не пройдёт 90 дней с момента вашего сообщения — в зависимости от того, что наступит раньше. Если для исправления потребуется больше времени, мы объясним причину и согласуем с вами новую дату.

Гарантии правовой защиты

Если вы добросовестно постараетесь соблюдать эту политику, мы будем считать ваше исследование санкционированным, не станем инициировать или поддерживать юридические действия против вас в связи с ним и не будем сообщать о вас правоохранительным органам. Мы отказываемся от применения ограничений, установленных нашими Условиями использования и Политикой допустимого использования, в той мере, в какой это необходимо для проведения исследования согласно этой политике. Если третье лицо предпримет против вас юридические действия в связи с исследованием, проведённым согласно этой политике, мы заявим, что вы действовали в соответствии с ней.

Эти гарантии правовой защиты распространяются только на наши системы: мы не можем разрешить тестирование сервисов других компаний. Если вы не уверены, разрешено ли какое-либо действие, сначала уточните у нас по адресу security@exitomail.com.

Наши обязательства

Благодарность

В настоящее время у нас нет оплачиваемой программы вознаграждения за обнаружение уязвимостей. После устранения подтверждённой уязвимости мы с вашего разрешения публично поблагодарим вас за сообщение о ней.

security.txt

В нашем файле security.txt (откроется в новой вкладке) по адресу /.well-known/security.txt (RFC 9116) указаны контактные данные для сообщений по вопросам безопасности и ссылка на настоящую политику.