Aegirex nem elégszik meg azzal, hogy bejelenti a kötelezettségvállalásokat : francia hosting, nyílt forráskód, HMAC-audit-chain, dokumentált alfeldolgozók, adatok soha nem újraértékesítve. E kötelezettségvállalások mindegyikét függetlenül ellenőrizhetővé tesszük, akár az AGPL-3.0-kód olvasásával, akár nyilvános parancs futtatásával, akár kifogásolható DPA vagy jogi közlemény olvasásával. Ez az oldal összefoglalja, mit ellenőrizhet ön maga, anélkül, hogy bennünk kellene bíznia.
Hat operatív kötelezettségvállalás, amelyek a Aegirex architektúráját és kormányzását irányítják. Mindegyik konkrétan ellenőrizhető, akár a nyilvános repository olvasásával, akár parancs futtatásával, akár a kifogásolható DPA olvasásával.
A teljes forráskód AGPL-3.0 licenc alatt jelenik meg, beleértve a fizetős funkciókat. Nincs rejtett szabadalmaztatott build, nincs átláthatatlan rétegnek fenntartott biztonsági funkció. Soronként auditálható, forkolható, telepíthető az Ön által választott üzemeltetőhöz.
A SaaS-infrastruktúra Párizsban van hostolva három rendelkezésre állási zónán, ebből egy atombiztos bunkerben. Egyetlen adatútvonal sem halad át Európán kívüli joghatóságon a kezelt szolgáltatások esetében. Önállóan üzemeltetés mindenhol elérhető az AGPL-3.0-nak köszönhetően.
Teljes nyilvános lista, minden változáskor frissített, 30 napos értesítés új alfeldolgozó hozzáadása előtt indokolt kifogásolási joggal. Egyetlen alfeldolgozó sem rendelkezik a felhasználók privát kulcsaival, zero-knowledge konstrukció révén.
Az ügyféladatokat soha nem értékesítjük újra, ruházzuk át vagy bocsátjuk hirdetési szereplő rendelkezésére, és nem használjuk modell tanítására. Az üzleti modell kizárólag a Team-, Business- és Enterprise-csomagok fizetős előfizetésein nyugszik.
A titkokat a böngészőben OpenPGP.js v6 segítségével titkosítjuk minden szerverre küldés előtt. A privát kulcs soha nem hagyja el a felhasználó eszközét. Egy bírósági megkeresés csak használhatatlan titkosított blobokat kaphatna meg.
Minden érzékeny műveletet láncolt HMAC-SHA-256 pecsétel le. Egy nyilvános parancs lehetővé teszi egy külső auditornak, hogy megállapítsa a napló sértetlenségét anélkül, hogy a kiadó binárisától függne. Minden visszamenőleges módosítás újraszámítással észlelhető.
Aegirex pontos státusza a főbb francia és európai referenciakeretek tekintetében. Eufemizmusok nélkül : az elért fel van sorolva, az kitűzött kitűzöttként van megjelölve, ami a ütemtervben van, azt ekként jelentjük be.
| Keret | Aegirex-státusz | Indoklás | Hivatkozás |
|---|---|---|---|
| RGPD (Règlement UE 2016/679) | Natívan megfelelő | Zero-knowledge architektúra, 15./17./20. cikk szerinti jogok a konzolban felszerelve, kijelölt adatvédelmi tisztviselő, nyilvános és kifogásolható szabványos DPA. | Nyilvános DPA |
| SecNumCloud | Kitűzött pálya | Partner-tárhelyszolgáltató SecNumCloud-minősítés alatt. Azonnali önállóan üzemeltetés egy már minősített harmadik SecNumCloud-üzemeltetőnél már ma lehetséges az AGPL-3.0-licencnek köszönhetően. | ANSSI-dokumentáció |
| HDS (Hébergement de Données de Santé) | Kérésre | HDS-partnertárhelyszolgáltató kérésre mozgósítható az egészségügyi ágazat ügyfelei számára. Önállóan üzemeltetés saját minősített HDS-tárhelyszolgáltatónál már ma elérhető. | Lépjen velünk kapcsolatba |
| OIV / NIS2 | Kompatibilis | Air-gap üzembe helyezési képesség, AGPL-3.0-kód a kriptográfiai szintig auditálható, kifogásolható HMAC-audit-chain, SIEM-export CEF/LEEF/OCSF/Syslog. | Önállóan üzemeltetés |
| ISO 27001 | Ütemterv | ISO 27001-audit az Enterprise-csomag indításakor tervezve. A mai napig még nem kezdődött meg : inkább nyíltan közöljük, mintsem hogy ütemterv nélkül „folyamatban“-ként mutatnánk be. | - |
Natívan megfelelő azt jelenti, hogy a Aegirex architektúrája további konfiguráció nélkül kielégíti a követelményeket. Kitűzött pálya azt jelenti, hogy munka folyik belső ütemtervvel, még nem megszerzett tanúsítvány nélkül. Kérésre azt jelenti, hogy egy partner-tárhelyszolgáltató eseti alapon mozgósítható. Kompatibilis azt jelenti, hogy az architektúra lehetővé teszi a megfelelést, ha az ügyfél szervezet maga viseli a szabályozási kerületet. Ütemterv azt jelenti, hogy hosszabb távú kötelezettségvállalás történik, azonosított termék-mérföldkőhöz kötve.
A technikai alfeldolgozók teljes listája. Egyiknek sincs hozzáférése a titkokhoz nyíltan, zero-knowledge konstrukció révén : az infrastruktúrán áthaladó OpenPGP-blobok átláthatatlanok mind a szerver, mind annak üzemeltetői számára.
| Alfeldolgozó | Szerep | Ország | Feldolgozott adatok | DPA |
|---|---|---|---|---|
| Scaleway (SecNumCloud-pályán lévő üzemeltető) | Infrastruktúra-hosting (3 rendelkezésre állási zóna, ezek között atombiztos bunker) | France | Titkosított OpenPGP-blobok + technikai metaadatok | DPA aláírva |
| Brevo | Tranzakciós e-mailek (signup, megosztás, auditriasztások) | France | Kizárólag címzett e-mail-címe | DPA aláírva |
| Stancer | Fizetés a Team-, Business- és Enterprise-fizetős csomagokért | France | Számlázási adatok (cégnév, cím, e-mail) | DPA aláírva |
| DB-IP | IP-geolokáció adatbázis (új bejelentkezésről szóló értesítő e-mailek dúsítása) | Belgique | IP-cím helyileg feldolgozva (soha nem kerül továbbításra a DB-IP-hez) · CC-BY 4.0 hivatkozás | Adatbázis kiszállítva, helyi feldolgozás |
Minden új alfeldolgozó 30 napos értesítés tárgyát képezi a termelésbe lépése előtt, az Adatkezelő indokolt kifogásolási jogával. A fenti listát naprakészen tartjuk, és aktuális állapotában kifogásolható a nyilvános szabványos DPA-ban.
Négy rutin, amelyet a Aegirex csapata folyamatosan futtat. A kriptográfiai architektúrán túl a biztonság a napi üzemeltetésen nyugszik : biztonsági mentések, rotáció, monitoring, folytonosság.
Teljes titkosított biztonsági mentések szerveroldalon és helyszínen kívüli replikált objektumtárolóra letétbe helyezve. Helyreállítás havonta tesztelve dedikált környezetben. Rolling megőrzés 35 nap szabványban, 1 év Business-ben, 5 év Enterprise-ban.
Az audit-chain HMAC-kulcsa rotálható a történeti ellenőrizhetőség elvesztése nélkül, az új kulcs általi régi kulcs lepecsételésnek köszönhetően. Dokumentált eljárás, a rotáció követhetősége magában a láncban naplózva.
Szintetikus szondák, infrastruktúra-alerting, operatív biztonsági felügyelet. Technikai ügyelet 24/7 a Business-csomagtól kezdve, szerződéses SLA 99,5 % szabványban, tárgyalható Enterprise-ban.
Dokumentált üzletmenet-folytonossági terv, amely lefedi egy rendelkezésre állási zóna elvesztését, a fő tárhely elvesztését és a kód & adat letéti forgatókönyvet Enterprise-ügyfelek számára. RTO/RPO formalizálva és kérésre közölve egy kísért CISO-audit keretében.
A Aegirex által fenntartott négy publikáció a közösség, az ügyfelek és a biztonsági kutatók javára. Egyik sem kötelező : mindegyik tudatos állásfoglalás a független ellenőrizhetőség mellett.
Nyilvános GitHub-repository, a teljes kód, beleértve a Business-funkciókat. Közösségi pull request-ek elfogadva, külső közreműködők elismerve.
github.com/aegirex/aegirex →
STRIDE- és LINDDUN-modell komponensenként, lefedett forgatókönyvek és vállalt kompromisszumok eufemizmus nélkül felsorolva. Frissítve az architektúra minden nagyobb fejlődésekor.
A fenyegetésmodell elolvasása →
A használt primitívek részletei (OpenPGP.js v6, Argon2id RFC 9106, AES-256-GCM SEIPDv2, HMAC-SHA-256). Minden választáshoz egy RFC, semmi átláthatatlan.
A kripto-stack elolvasása →
A termelési incidensek története a Státusz oldalon közzétéve, nyilvános post-mortem-ek a jelentős incidensekhez. Hamarosan érkező dedikált oldal mindent központosít.
Aegirex-t független francia társaság üzemelteti, amelyet az alapítója vezet. Nincs kockázati tőkés, nincs pivot tervezve, üzleti modell kizárólag ügyfél-előfizetésekre alapozva.
Az ARDNTECH EI egy francia társaság (egyszerűsített egyszemélyes részvénytársaság, francia jog) Adrien Chaumarat vezetésével, több mint 10 év B2B SaaS szoftverkiadói tapasztalattal. Nincs kockázati tőke a tőkestruktúrában, nincs stratégiai pivot tervezve : a projekt kizárólag ügyfelei előfizetéseiből finanszírozódik. Ez a tőkefüggetlenség közvetlenül feltételezi a jelen oldalon vállalt kötelezettségek stabilitását (szuverenitás, AGPL-3.0, az adatok újraértékesítésének elutasítása, megfelelőségi pálya).
Olvassa el a nyilvános szabványos DPA-t, tekintse át az AGPL-3.0-kódot, hajtsa végre az audit-chain ellenőrzést a saját példányának kivonatán, beszélje meg a csapattal az Ön szabályozási keretét. Aegirex biztosítja a bizonyítékokat, az Ön csapata kialakítja saját véleményét.
