हमारी अपनी सुरक्षा मुद्रा

डेटा संभालना

हम posture और प्रवाह का मूल्यांकन करने के लिए आवश्यक न्यूनतम मेटाडेटा पढ़ते हैं। जहां सामग्री निरीक्षण की आवश्यकता है (Flow Guard), सामग्री को अस्थायी रूप से वर्गीकरण के लिए संसाधित किया जाता है और फैसला और इसके साक्ष्य अंश के परे प्रतिधारित नहीं किया जाता है।

निष्कर्ष, फैसले, और उनके साक्ष्य को बाकी में एन्क्रिप्ट किया जाता है। आप किसी भी समय अपने वर्कस्पेस डेटा को निर्यात या हटा सकते हैं — हटाना एक उत्पाद विशेषता है, एक समर्थन टिकट नहीं।

केवल-OAuth दायरे

कनेक्टर OAuth या विक्रेता API के साथ प्रमाणित करते हैं जो आपने सक्षम किए गए इंजन का समर्थन करने वाले सबसे संकीर्ण दायरे का उपयोग करते हैं। हम दस्तावेज़ में, प्रति कनेक्टर, हर दायरा जो हम अनुरोध करते हैं और क्यों सूचीबद्ध करते हैं।

कोई एंडपॉइंट एजेंट नहीं, कोई नेटवर्क उपकरण नहीं, कोई ब्राउज़र एक्सटेंशन नहीं। OAuth ग्रांट को रद्द करने से हमारी एक्सेस तुरंत सेवा मुक्त हो जाती है — आपकी हत्या का स्विच पहचान प्रदाता है जिसे आप पहले से नियंत्रित करते हैं।

प्लेटफॉर्म सुरक्षा

आप ईमेल पते और पासवर्ड के साथ, या Google के साथ साइन इन करते हैं। पासवर्ड कम से कम 12 वर्ण के होने चाहिए और केवल salted scrypt हैश के रूप में संग्रहीत होते हैं — कभी भी पठनीय रूप में नहीं — और साइन-इन प्रयास IP पते के प्रति दर-सीमित होते हैं। कोई भी दूसरा कारक (TOTP प्रमाणीकरण ऐप्स प्लस एक-बार के बैकअप कोड) जोड़ सकता है, और एक संगठन इसे प्रत्येक सदस्य के लिए आवश्यक बना सकता है। Enterprise संगठन single sign-on (SAML (जल्द ही आ रहा है) Okta, Azure AD, Google या OneLogin के साथ) जोड़ सकते हैं, SSO को एकमात्र तरीका बना सकते हैं (जल्द ही आ रहा है), और विश्वसनीय IP रेंज (IPv4 और IPv6) तक पहुंच को प्रतिबंधित कर सकते हैं।

हर साइन-इन एक HttpOnly, सुरक्षित कुकी में रखा गया एक सत्र बनाता है और एक सर्वर-साइड रिकॉर्ड द्वारा समर्थित है जिसे हर अनुरोध पर जांचा जाता है — इसलिए एक सत्र जिसे आप रद्द करते हैं, या जो आपकी संगठन की IP या सत्र नीति को तोड़ता है, तुरंत समाप्त होता है। आप अपने सक्रिय सत्र की समीक्षा कर सकते हैं और सभी से एक बार साइन आउट कर सकते हैं। उत्पाद के अंदर, एक्सेस कम-विशेषाधिकार है: प्रति-विशेषता अनुमति परमाणु, सत्र नीतियां (अधिकतम अवधि, निष्क्रिय समय सीमा और बल-लॉगआउट), और एक परिशिष्ट-केवल प्रति-संगठन ऑडिट लॉग जिसे आप CSV, JSON या CEF के रूप में अपने SIEM में स्ट्रीम या निर्यात कर सकते हैं।

हर रिलीज़ 4,000 से अधिक स्वचालित परीक्षणों, 13 भाषाओं में अनुवाद-समानता गेट्स, और एक उत्पादन बिल्ड गेट के एक सूट के पीछे शिप किया जाता है — उसी इंजीनियरिंग कठोरता जिसकी हम उस प्रणाली से उम्मीद करते हैं जिसे हम सुरक्षित करते हैं।

कार्रवाई के तीन स्तर — और केवल एक ही लिखता है

हर संगठन Detect & Alert से शुरू होता है: 8200.dev केवल-पढ़ने वाले दायरे के माध्यम से पढ़ता है, जोखिम भरी अनुमतियां, डेटा प्रवाह और एजेंट कार्रवाई खोजता है, और हर एक को समझाता है। Recommend & Guide भी केवल-पढ़ने वाला है — यह सटीक फिक्स और एक व्यक्ति द्वारा आपकी ओर से इसे लागू करने के लिए चरण-दर-चरण निर्देश जोड़ता है। कहीं भी उत्पाद दिखाता है कि लिखने की पहुंच के बिना क्या ब्लॉक किया जाएगा, इसे एक सिमुलेशन के रूप में लेबल किया जाता है; हम कभी भी ऐसी प्रवर्तन का दावा नहीं करते जो हमारे पास नहीं है।

स्वचालित-सुधार केवल वह स्तर है जो आपके स्रोतों में कुछ बदलता है, और यह डिफ़ॉल्ट रूप से बंद है। यह केवल तभी कार्य करता है जब एक मालिक या प्रशासक ने इसे संगठन के लिए चालू कर दिया है, नियम के लिए एक नीति को सशस्त्र किया है, और आप अलग से उस कनेक्टर को लिखने की दायरा दे दिए हैं जिसे वह चाहिए — एक दूसरी सहमति जिसे आप निगरानी को बाधित किए बिना किसी भी समय रद्द कर सकते हैं। स्वचालित-सुधार अभी तक Google Workspace पर उपलब्ध नहीं है: लिखने की दायरा जिसे वह चाहिए वह Google द्वारा सत्यापित नहीं किया गया है।

कोई आक्रामक क्षमता नहीं

8200.dev में शोषण, पार्श्व-आंदोलन, या आक्रामक उपकरण की कोई क्षमता नहीं है। प्लेटफॉर्म कॉन्फ़िगरेशन का अवलोकन करता है, डेटा प्रवाह का मूल्यांकन करता है, और आपके द्वारा अधिकृत विक्रेता API के माध्यम से नीति को लागू करता है — कुछ और नहीं।

एकमात्र विश्लेषण जिसे किसी जुड़े हुए स्रोत की आवश्यकता नहीं है, वह मुफ्त AI एक्सपोजर चेक है। यह एक डोमेन नाम के बारे में सार्वजनिक DNS रिज़ॉल्वर से पूछता है जो आप दर्ज करते हैं और केवल एक स्कोर, गिनती और स्थिति फ़्लैग लौटाता है। यह उस डोमेन के सर्वर या वेबसाइट से कनेक्ट नहीं करता है (सार्वजनिक रिज़ॉल्वर डोमेन के नाम सर्वर को क्वेरी कर सकता है, जैसा कि सामान्य DNS रेज़ॉल्यूशन करता है), और यह पोर्ट स्कैन नहीं करता, साइन इन करने का प्रयास नहीं करता या कमजोरियों के लिए परीक्षण नहीं करता। यह दर-सीमित है, और स्वीकार्य उपयोग नीति (अनुभाग 3A) इसके नियम निर्धारित करती है।

ऑडिट लॉगिंग

प्रत्येक कार्रवाई जो प्लेटफॉर्म लेता है — हर स्कैन, निष्कर्ष, ब्लॉक, और कॉन्फ़िगरेशन परिवर्तन — एक परिशिष्ट-केवल ऑडिट लॉग में लिखा जाता है। व्यवसाय और एंटरप्राइज़ टियर इसे निर्यात कर सकते हैं।

हमारी अपनी प्रशासनिक कार्रवाई आपके वर्कस्पेस पर उसी ट्रेल में दर्ज की जाती है और आप के लिए दिखाई देते हैं। हमारे पास आपके डेटा में एक शांत पिछला दरवाजा नहीं है, और हमने सुनिश्चित किया कि आप इसे सत्यापित कर सकते हैं।

कमजोरी रिपोर्ट करना

कुछ मिला? [email protected] को लिखें। हम 48 घंटे के भीतर रिपोर्ट को स्वीकार करने का लक्ष्य रखते हैं, और हम अच्छे विश्वास वाले शोधकर्ताओं को प्रतिबंधित नहीं करते।

हम 90-दिन की खिड़की के साथ समन्वित प्रकटीकरण का पालन करते हैं: हम आपके द्वारा रिपोर्ट करने के समय से एक फिक्स पर काम करते हैं, आपको अपडेट रखते हैं, और अनुरोध करते हैं कि आप सार्वजनिक प्रकटीकरण को 90 दिनों तक या जब तक फिक्स भेज न दिया जाए, जो भी पहले हो, के लिए रखें।