اعتماد و امنیت

1. معماری امنیتی

• رمزگذاری در حالت استراحت

  تمام داده‌های حساس، از جمله اعتبارات رابط و گواهی‌های ارائه‌دهنده شناسایی، با AES-256-GCM رمزگذاری می‌شوند.

• رمزگذاری در حین انتقال

  تمام ترافیک از طریق TLS 1.3 (HTTPS) ارائه می‌شود، با HSTS اعمال‌شده، بنابراین مرورگرها از اتصال ناامن امتناع می‌کنند.

• احراز هویت و MFA

  با Google وارد شوید، یا با ایمیل و رمزعبور — حداقل ۱۲ کاراکتر، تنها به‌صورت هش‌های scrypt شور‌دار ذخیره‌شده، با تلاش‌های ورود محدودسازی‌شده. احراز هویت دو‌عاملی (TOTP به‌علاوه کدهای پشتیبان) برای همه موجود است و می‌تواند سازمان‌گسترده الزام‌شود؛ Enterprise کاربر واحد SAML (به‌زودی) (Okta، Azure AD، Google Workspace، OneLogin) را اضافه می‌کند با تهیه‌کاری درحین‌زمان و حفاظت از پخش اطلاعات.

• کنترل دسترسی مبتنی‌بر نقش

  نقش‌های صاحب، مدیر و بیننده درون‌ساخت به‌علاوه نقش‌های سفارشی دقیق‌تر به شما امکان می‌دهند دسترسی کمترین‌امتیاز را اعطا کنید. مجوزها در هر درخواست اعمال می‌شوند.

• کنترل جلسه و شبکه

  سیاست‌های مدت زمان بیشینه جلسه و خرابی‌زمانی قابل‌تنظیم، به‌علاوه فهرست‌سفید‌کنندگی IP که دسترسی را به بازه‌های مورد اعتماد محدود می‌کند (Enterprise).

• حفاظت مرز

  Cloudflare جدیر دیوار آتش و حفاظت DDoS را جلوی برنامه فراهم می‌کند، با سرصحافه‌های امنیتی (CSP، HSTS، frame-deny) در هر پاسخ.

2. مدیریت داده

نظارت فقط‌خواندنی است. پلتفرم با باریک‌ترین دامنه متصل می‌شود که امکان ارزیابی موضع شما را می‌دهد، هرگز به محتویات فایل‌های شما نیاز ندارد، و مگر اینکه اصلاح‌کاری خودکار را روشن کنید، چیزی را در منابع تغییر نمی‌دهد.

• نظارت فقط‌خواندنی

  رابط‌ها از طریق دامنه‌های فقط‌خواندنی نظارت می‌کنند. برای Google Workspace، اسکن بر drive.metadata.readonly کار می‌کند — می‌تواند فراداده اشتراک‌گذاری را بخواند، نه محتویات فایل. دسترسی نوشتاری تنها برای اصلاح‌کاری خودکار وجود دارد: به‌طور پیش‌فرض خاموش، جداگانه به‌ازای هر رابط اعطا‌شده، و محدود‌شده به لغو یا کاهش دسترسی.

• فقط فراداده و یافته‌ها

  ما فراداده اجازه، نمودار دسترسی، و یافته‌هایی را که از آن استخراج می‌کنیم ذخیره می‌کنیم. محتویات اسناد خود را ذخیره، نمایه‌سازی یا انتقال نمی‌دهیم.

• نگهداری قابل‌تنظیم

  داده‌های عملیاتی سیاست نگهداری شما را دنبال می‌کند — برای مثال تا ۲۴ ماه تاریخچه حسابرسی و پنجره ۹۰ روزه برای داده‌های موقت — با کف ایمنی بنابراین چیزی به‌صورت تصادفی پاک نمی‌شود.

• صادرات و حذف خودخدمتی

  صاحبان می‌توانند داده‌های سازمان خود را صادر کنند و خود درخواست حذف حساب کنند. حذف بر روی پنجره پاسخ کاری اجرا می‌شود و سپس داده را حذف می‌کند.

• بررسی AI Exposure Check (تنها رکوردهای عمومی)

  بررسی رایگان AI Exposure Check تنها رکوردهای DNS عمومی دامنه‌ای را که وارد می‌کنید می‌خواند، از طریق حل‌کننده‌های DNS عمومی (Cloudflare، با حل‌کننده DNS عمومی Google به عنوان گزینه احتیاطی). به سرورها یا وب‌سایت خود آن دامنه متصل نمی‌شود (حل‌کننده عمومی ممکن است مانند DNS معمولی سرورهای نام دامنه را پرس‌وجو کند)، و تنها یک امتیاز، تعدادها و پرچم‌های وضعیت را برمی‌گرداند: نه نام‌های سرویس، نه زیردامنه‌ها و نه مقادیر رکورد. نتیجه ذخیره‌شده پس از ۲۴ ساعت و کارت اشتراک‌گذاری پس از ۳۰ روز حذف می‌شود؛ کپی‌ها می‌توانند در نسخه‌های پشتیبانی رمزگذاری‌شده ما تا حدود ۵۶ روز باقی بمانند. ورودی که حاوی آدرس ایمیلی است که شما انتخاب می‌کنید در صورتی که در عرض ۴۸ ساعت تأیید نشود حذف می‌شود، و به هر حال حداکثر پس از ۱۲ ماه؛ ایمیل‌هایی که ما ارسال می‌کنیم به‌عنوان سابقه تحویل تا ۳۰ روز نگهداری می‌شوند.

3. تطابق

کنترل‌های خود و شواهدی که محصول تولید می‌کند را به چارچوب‌های اصلی نقشه‌برداری می‌کنیم. این نقشه‌برداری‌ها برای کمک به حسابرسی خود شما است — 8200.dev تأیید‌شده‌ای برای این استانداردها نیست، و هرگز در غیر این صورت ادعا نخواهیم کرد.

• نقشه‌برداری چارچوب

  کنترل‌ها و شواهد محصول به SOC 2، ISO 27001، GDPR، HIPAA، و NIST CSF 2.0 نقشه‌برداری شده‌اند. داشبورد تطابق درون‌برنامه هر پنج را پهلو‌به‌پهلو با تجزیه‌و‌تحلیل شکاف و بسته‌ی شواهد قابل‌صادرات ردیابی می‌کند.

• استفادۀ محدود Google API

  استفاده از داده‌های خام یا مشتق‌شدۀ کاربر دریافت‌شده از Workspace APIs از سیاست داده کاربر Google پیروی خواهد کرد، از جمله الزامات استفادۀ محدود. داده‌های Workspace تنها برای فراهم‌کردن و بهبود ویژگی‌های امنیتی که فعال‌کردید استفاده می‌شوند — هرگز از آن برای توسعه، بهبود یا آموزش مدل‌های هوش‌مصنوعی یا یادگیری ماشین عمومی‌شدۀ استفاده نمی‌کنیم، و هرگز آن را به ابزار یا خدمات AI یا ML شخص ثالث برای اهداف آموزشی منتقل نمی‌کنیم.

• تأیید OAuth Google

  Google 8200.dev را برای تأیید OAuth در 2026-08-23 تأیید کرد برای سه دامنه‌ای که درخواست می‌کند: drive.metadata.readonly برای اسکن، و admin.directory.user.readonly و admin.directory.user.security برای حسابرسی کاربرد شخص ثالث اختیاری. هر دامنۀ جدید — از جمله دامنۀ نوشتاری که اصلاح‌کاری خودکار بر روی Google Workspace نیاز دارد — تأیید جدیدی را قبل از استفاده از آن نیاز دارد. در 2026-09-21 Google همچنین برنامۀ 8200.dev Admin Insights جداگانه و اختیاری را برای دو دامنۀ فقط‌خواندنی آن تأیید کرد: cloud-identity.policies.readonly و admin.directory.domain.readonly.

4. مسئولیت عامل هوش‌مصنوعی

تغییر مسئولیت سال ۲۰۲۶ شرکتی که هوش‌مصنوعی را استقرار می‌دهد را برای آنچه عوامل آن انجام می‌دهند مسئول می‌شمارد. 8200.dev شواهدی را تولید می‌کند که شما آن دسترسی را کنترل کردید. این موضع تطابق شما را پشتیبانی می‌کند؛ مشاوره‌ی حقوقی نیست و هیچ نتیجه را تضمین نمی‌کند.

• فهرست کامل عامل

  Agent Guard فهرست زندۀ هر عامل هوش‌مصنوعی و حسابِ خدمتی را نگه می‌دارد که می‌تواند به داده‌های شما برسد، به‌علاوه مجوزهای OAuth شخص ثالث پشت سر هوش‌مصنوعی سایه — شما نمی‌توانید آنچه را نمی‌توانید ببینید کنترل کنید.

• سابقۀ دسترسی تغییر‌نایافتنی

  هر تصمیم دسترسی و تغییر در سابقۀ حسابرسی قابل‌صادرات (CSV / JSON / CEF / SIEM) ثبت می‌شود، بنابراین می‌توانید بازسازی کنید که عامل هوش‌مصنوعی می‌توانست چه به آن برسد، و چه زمانی.

• کنترل قابل‌نشان

  قوانین جلوگیری، اعمال دسترسی، و خط‌زمانی ریسک توثیق‌شده کنترل فعال و پاسخ را نشان می‌دهد — شواهد پشت برنامۀ کنترل هوش‌مصنوعی قابل‌دفاع.

5. امنیت عملیاتی

• بررسی‌های سلامتی مداوم

  بررسی‌های سلامتی خودکار هر پنج دقیقه در سراسر پلتفرم، پایگاه‌داده، و رابط‌ها اجرا می‌شود، یک حادثه را به‌طور خودکار باز می‌کند وقتی چیزی کاهش می‌یابد.

• صفحۀ وضعیت عمومی

  صفحۀ وضعیت عمومی تاریخچۀ بالا‌بودن و به‌روزرسانی‌های حادثه منتشر می‌کند بنابراین شما همیشه وضعیت فعلی را می‌دانید.

• آزمایش خودکار

  پایگاه کد توسط بیش از ۴٬۰۰۰ آزمایش خودکار پوشش‌دار است که در هر تغییر اجرا می‌شود، بنابراین بازگردآمد‌ها قبل از انتشار تلافی می‌شوند.

• حسابرسی ثبت‌کننده و صادرات SIEM

  اقدامات مرتبط‌با امنیت در سابقۀ حسابرسی تغییر‌نایافتنی سازمانی ثبت می‌شوند که می‌توانید به‌صورت CSV، JSON، یا CEF صادر کنید، و به SIEM خود جریان دهید (Enterprise).

6. زیرفروشندگان

ما مجموعۀ کوچکی از زیرفروشندگان تأیید‌شدۀ استفاده می‌کنیم. هر یک تنها داده‌ای را می‌پذیرد که برای انجام تابع خود نیاز دارد.

7. Contact

Need security documentation, a subprocessor list, or answers for a vendor review? Email [email protected].