امنیت ابری در ایران‌کلاد

رمز عبور با الگوریتم Argon2id درهم‌سازی می‌شود و خود رمز هیچ‌جا ذخیره نمی‌شود. ورود با رمز یا با کد یک‌بارمصرف پیامکی ممکن است و تعداد تلاش‌ها از هر IP محدود است تا حدس‌زدن انبوه رمز عملی نباشد. همهٔ فرم‌های پنل در برابر جعل درخواست بین‌سایتی محافظت شده‌اند.

ورود دومرحله‌ای هنوز نداریم و این را پنهان نمی‌کنیم. تا آن زمان، رمز طولانی و یکتا انتخاب کنید، شمارهٔ موبایل حساب را امن نگه دارید چون کد ورود و بازیابی به آن ارسال می‌شود، و هر چند وقت یک بار فهرست دستگاه‌های فعال را مرور کنید و نشست‌های ناشناس را ببندید. برای استفاده از بخشی از خدمات پنل، تأیید شمارهٔ موبایل و احراز هویت هم لازم است.

هر توکن API می‌تواند فقط به بخش‌های مشخصی دسترسی داشته باشد، مثلاً فقط خواندن DNS، به یک IP یا بازهٔ IP محدود شود و حتی فقط روی چند سرور مشخص اثر داشته باشد. تاریخ انقضا هم قابل تعیین است. توکن فقط یک بار هنگام ساخت نمایش داده می‌شود و ما تنها حاصل درهم‌سازی آن را نگه می‌داریم؛ پس اگر گم شد، توکن تازه بسازید.

یک قاعدهٔ ساده جلوی بیشتر حادثه‌ها را می‌گیرد: هر اسکریپت یا سرویس، توکن جداگانهٔ خودش را داشته باشد. توکن را هرگز داخل کدی که در مخزن گیت ذخیره می‌شود ننویسید؛ آن را در متغیر محیطی یا مدیر اسرار نگه دارید و برای محیط آزمایش و محیط اصلی توکن‌های جدا بسازید. اگر سرویسی فقط باید رکوردهای یک دامنه را تغییر دهد، دسترسی نوشتن روی سرورها به آن ندهید. اگر یکی لو رفت، فقط همان را باطل می‌کنید و بقیهٔ خودکارسازی‌ها از کار نمی‌افتند. راهنمای شروع کار با API نحوهٔ استفاده از توکن را نشان می‌دهد.

هر سرور با فایروال فعال ساخته می‌شود که فقط SSH، وب و پینگ را می‌پذیرد. ارتباط بین سرورهای خودتان را از شبکهٔ خصوصی رایگان عبور دهید تا لازم نباشد پورت دیتابیس یا سرویس‌های داخلی را روی اینترنت باز کنید. کلید SSH را هنگام سفارش اضافه کنید و پس از ورود، ورود با رمز را در SSH غیرفعال کنید.

برای وب‌سایت‌ها، Edge Proxy گواهی SSL را خودکار صادر می‌کند، هدر HSTS را می‌فرستد، با فایروال برنامه بر پایهٔ قواعد OWASP جلوی تزریق SQL و حملات رایج وب را می‌گیرد و برای هر IP محدودیت نرخ درخواست می‌گذارد. حملات حجمی لایهٔ شبکه در سطح دیتاسنتر کاهش داده می‌شوند و جزئیاتش در صفحهٔ محافظت DDoS آمده است.

رمزهایی که پنل باید بعداً به شما نشان دهد، مثل رمز دیتابیس مدیریت‌شده، رمز ادمین سایت آماده و کلیدهای ذخیره‌سازی، با رمزنگاری احراز‌شدهٔ libsodium نگه داشته می‌شوند؛ یعنی هم محرمانه‌اند و هم دست‌کاری در آن‌ها تشخیص داده می‌شود. بکاپ شبانهٔ دیتابیس‌های SQL مدیریت‌شده هم پیش از ذخیره رمزنگاری می‌شود.

سرویس‌های داخلی، از سرور و دیتابیس تا ذخیره‌سازی شیء و بکاپ، در دیتاسنتر تهران‌اند. اگر سرور خارجی سفارش دهید، آن سرور طبق انتخاب خودتان بیرون از ایران و نزد ارائه‌دهندهٔ خارجی است. باکت‌های ذخیره‌سازی به‌طور پیش‌فرض خصوصی‌اند و فقط با کلید دسترسی خوانده می‌شوند.

بخش فعالیت اخیر پنل، رویدادهای مهم حساب را با زمان ثبت می‌کند؛ از ورود و ساخت توکن تا تغییر سرورها. در بخش دستگاه‌های فعال، هر نشست باز با IP مبدأ و زمان آخرین فعالیت دیده می‌شود و می‌توانید هر کدام را جداگانه ببندید.

اعلان‌های پیامکی بیشتر برای رویدادهای عملیاتی‌اند: کم شدن موجودی، شارژ کیف پول، هشدار ترافیک، آماده شدن یا خطای ساخت سرور، پاسخ تیکت و رویدادهای سرور خارجی. تاریخچهٔ پیامک‌های ارسال‌شده در بخش تنظیمات اعلان پنل دیده می‌شود. پیامک ورود از IP تازه هنوز ارسال نمی‌شود.

شارژ کیف پول از درگاه بانکی داخلی انجام می‌شود: شما به صفحهٔ درگاه هدایت می‌شوید، اطلاعات کارت را همان‌جا وارد می‌کنید و این اطلاعات هرگز به سرورهای ایران‌کلاد نمی‌رسد. پس از بازگشت، هر تراکنش پیش از افزودن به موجودی، مستقیم از سمت سرور با درگاه استعلام و تأیید می‌شود تا بازگشت جعلی به صفحهٔ پرداخت نتواند موجودی بسازد.

هر شارژ موفق با پیامک تأیید اطلاع داده می‌شود و کم شدن موجودی هم پیش از رسیدن به صفر هشدار پیامکی دارد. همهٔ کسرهای ساعتی و پرداخت‌ها در بخش کیف پول پنل با جزئیات دیده می‌شوند؛ اگر تراکنشی را نمی‌شناسید، از بخش پشتیبانی تیکت ثبت کنید.

وضعیت لحظه‌ای سرویس‌ها در صفحهٔ وضعیت منتشر می‌شود و برای پنجره‌های نگه‌داری برنامه‌ریزی‌شده، بنری در بالای همهٔ صفحه‌های سایت نمایش داده می‌شود تا پیش از شروع کار مطلع باشید. تغییرات مهم پلتفرم هم در تغییرات نسخه‌ها ثبت می‌شود.

پس از هر قطعی، علت، زمان‌بندی و اقدامات اصلاحی در یک گزارش داخلی ثبت و پیگیری می‌شود تا همان مشکل تکرار نشود. تعهدات دسترس‌پذیری و نحوهٔ جبران در توافق‌نامهٔ سطح خدمات آمده است.

اگر در پنل، API یا وب‌سایت ایران‌کلاد آسیب‌پذیری یا خطای پیکربندی پیدا کردید، سیاست افشای مسئولانه کانال گزارش، محدودهٔ بررسی، رفتارهای مجاز و ممنوع و تعهد ما به عدم پیگرد قانونی پژوهشگران حسن‌نیت را توضیح می‌دهد. فایل استاندارد security.txt هم همین نشانی را برای ابزارهای خودکار اعلام می‌کند.

برنامهٔ گزارش باگ سطح‌بندی شدت را توضیح می‌دهد؛ پاداش جدول ثابتی ندارد و برای یافته‌های حیاتی موردبه‌مورد تعیین می‌شود. لطفاً پیش از گزارش، آزمایش را فقط روی حساب و منابع خودتان انجام دهید، از دسترسی به دادهٔ دیگران و حملات از کار انداختن سرویس پرهیز کنید و تا رفع مشکل جزئیات را عمومی نکنید.

ورود دومرحله‌ای با برنامهٔ احراز هویت و پیامک هشدار ورود از IP تازه هنوز ارائه نمی‌شوند؛ امضای DNSSEC برای زون‌ها از پنل قابل فعال‌سازی است. برای ظرفیت محافظت DDoS لایهٔ شبکه عددی اعلام نمی‌کنیم و محافظت لبه فقط ترافیک وب را پوشش می‌دهد. بکاپ سرور ابری زمان‌بندی خودکار ندارد.

دربارهٔ گواهی‌نامه‌ها و استانداردهایی که داریم یا در مسیرشان هستیم، صفحهٔ گواهی‌ها را ببینید و برای جزئیات حقوقی پردازش داده توافق‌نامهٔ پردازش داده و حریم خصوصی را بخوانید. اگر سازمان شما الزام امنیتی مشخصی دارد، پیش از خرید از صفحهٔ تماس بپرسید.