Aegirex sa neuspokojuje s oznamovaním záväzkov : francúzsky hosting, otvorený zdrojový kód, HMAC audit chain, dokumentovaní subdodávatelia, dáta nikdy nepredané. Každý z týchto záväzkov je urobený nezávisle overiteľným, či už čítaním kódu AGPL-3.0, spustením verejného príkazu alebo čítaním namietateľného DPA alebo právneho vyhlásenia. Táto stránka sumarizuje, čo môžete sami skontrolovať, bez toho, aby ste nám museli veriť.
Šesť operatívnych záväzkov, ktoré riadia architektúru a správu Aegirex. Každý je konkrétne overiteľný, či už čítaním verejného repozitára, spustením príkazu alebo čítaním namietateľného DPA.
Celý zdrojový kód je publikovaný pod licenciou AGPL-3.0, vrátane platených funkcií. Žiadny skrytý proprietárny build, žiadna bezpečnostná funkcia vyhradená neprehľadnej vrstve. Auditovateľný riadok po riadku, forkovateľný, nasaditeľný u operátora podľa vášho výberu.
SaaS infraštruktúra je hostovaná v Paríži v troch zónach dostupnosti, jedna z nich v protiatomovom bunkri. Žiadna dátová cesta nevedie mimoeurópskou jurisdikciou pre spravované služby. Self-hosting dostupný všade vďaka AGPL-3.0.
Vyčerpávajúci verejný zoznam, aktualizovaný pri každej zmene, 30-dňové oznámenie pred pridaním nového subdodávateľa s odôvodneným právom námietky. Žiadny subdodávateľ nedisponuje súkromnými kľúčmi používateľov, vďaka zero-knowledge konštrukcii.
Dáta klientov nikdy nie sú predávané, postupované ani dávané k dispozícii reklamnému aktérovi, ani používané na trénovanie modelu. Obchodný model spočíva výhradne na platených predplatných plánov Team, Business a Enterprise.
Tajomstvá sú šifrované v prehliadači pomocou OpenPGP.js v6 pred akýmkoľvek odoslaním na server. Súkromný kľúč nikdy neopustí zariadenie používateľa. Súdna žiadosť by mohla získať len nepoužiteľné šifrované bloby.
Každá citlivá akcia je zapečatená reťazeným HMAC-SHA-256. Verejný príkaz umožňuje externému audítorovi zistiť integritu protokolu bez závislosti na binárke vydavateľa. Akákoľvek spätná úprava je detegovaná prepočtom.
Presný stav Aegirex voči hlavným francúzskym a európskym referenčným rámcom. Bez eufemizmov : dosiahnuté je uvedené, sledované je označené ako sledované, to, čo je v roadmape, je oznámené ako také.
| Rámec | Stav Aegirex | Odôvodnenie | Referencia |
|---|---|---|---|
| RGPD (Règlement UE 2016/679) | Natívne v súlade | Zero-knowledge architektúra, práva čl. 15/17/20 nástroje v konzole, menovaný DPO, verejné a namietateľné štandardné DPA. | Verejné DPA |
| SecNumCloud | Sledovaná trajektória | Partnerský hosting v procese kvalifikácie SecNumCloud. Okamžitý self-hosting u už kvalifikovaného tretieho operátora SecNumCloud už možný dnes vďaka licencii AGPL-3.0. | Dokumentácia ANSSI |
| HDS (Hébergement de Données de Santé) | Na žiadosť | Partnerský HDS hosting mobilizovateľný na žiadosť pre klientov sektoru zdravotníctva. Self-hosting u vášho vlastného kvalifikovaného HDS hostingu k dispozícii už dnes. | Kontaktujte nás |
| OIV / NIS2 | Kompatibilný | Schopnosť nasadenia air-gap, kód AGPL-3.0 auditovateľný až na kryptografickú úroveň, namietateľný HMAC audit chain, export SIEM CEF/LEEF/OCSF/Syslog. | Self-hosting |
| ISO 27001 | Roadmapa | Audit ISO 27001 plánovaný pri spustení Enterprise plánu. K dnešnému dňu zatiaľ nezačatý : radšej to úprimne oznámime, než aby sme to zobrazovali ako „prebiehajúce“ bez harmonogramu. | - |
Natívne v súlade znamená, že architektúra Aegirex spĺňa požiadavky bez ďalšej konfigurácie. Sledovaná trajektória znamená, že práca je začatá s interným harmonogramom, certifikácia však zatiaľ nezískaná. Na žiadosť znamená, že partnerský hosting je mobilizovateľný v jednotlivých prípadoch. Kompatibilný znamená, že architektúra umožňuje súlad, keď klientská organizácia sama nesie regulačný perimeter. Roadmapa znamená, že bol prijatý dlhodobejší záväzok, podmienený identifikovaným produktovým míľnikom.
Vyčerpávajúci zoznam technických subdodávateľov. Žiadny nemá prístup k tajomstvám v čitateľnej podobe, vďaka zero-knowledge konštrukcii : OpenPGP bloby prechádzajúce infraštruktúrou sú neprehľadné tak pre server, ako aj pre jeho operátorov.
| Subdodávateľ | Rola | Krajina | Spracovávané dáta | DPA |
|---|---|---|---|---|
| Scaleway (operátor na trajektórii SecNumCloud) | Hosting infraštruktúry (3 zóny dostupnosti, vrátane protiatomového bunkra) | France | Šifrované OpenPGP bloby + technické metadáta | DPA podpísané |
| Brevo | Transakčné e-maily (signup, zdieľanie, audit alerts) | France | Len e-mailová adresa príjemcu | DPA podpísané |
| Stancer | Platba platených plánov Team, Business a Enterprise | France | Fakturačné dáta (obchodné meno, adresa, e-mail) | DPA podpísané |
| DB-IP | Databáza geolokácie IP (obohacovanie upozorňovacích e-mailov o novom prihlásení) | Belgique | IP adresa spracovaná lokálne (nikdy odoslaná DB-IP) · atribúcia CC-BY 4.0 | Dodaná databáza, lokálne spracovanie |
Každý nový subdodávateľ je predmetom oznámenia 30 dní pred uvedením do produkcie, s odôvodneným právom námietky Správcu spracovania. Vyššie uvedený zoznam je udržovaný aktuálny a je namietateľný v aktuálnom stave vo verejnom štandardnom DPA.
Štyri rutiny prevádzkované nepretržite tímom Aegirex. Nad rámec kryptografickej architektúry bezpečnosť spočíva na dennej prevádzke : zálohy, rotácia, monitoring, kontinuita.
Úplné šifrované zálohy na strane servera a uložené na replikovanom objektovom úložisku mimo lokalitu. Obnova testovaná každý mesiac vo vyhradenom prostredí. Rolling retencia 35 dní v štandarde, 1 rok v Business, 5 rokov v Enterprise.
HMAC kľúč audit chainu je rotovateľný bez straty historickej overiteľnosti vďaka zapečateniu starého kľúča novým. Dokumentovaný postup, sledovateľnosť pivotu zaznamenaná v samotnom reťazci.
Syntetické sondy, alerting infraštruktúry, dohľad prevádzkovej bezpečnosti. Technická pohotovosť 24/7 od plánu Business, zmluvné SLA 99,5 % v štandarde, vyjednávateľné v Enterprise.
Dokumentovaný plán kontinuity podnikania pokrývajúci stratu zóny dostupnosti, stratu hlavného hostingu a scenár escrow kódu & dát pre klientov Enterprise. RTO/RPO formalizované a oznámené na žiadosť v rámci sprevádzaného CISO auditu.
Štyri publikácie udržiavané Aegirex v prospech komunity, klientov a bezpečnostných výskumníkov. Žiadna nie je povinná : každá je uvedomelým postojom v prospech nezávislej overiteľnosti.
Verejný GitHub repozitár, celý kód vrátane Business funkcií. Komunitné pull requesty prijímané, externí prispievatelia uvádzaní.
github.com/aegirex/aegirex →
Model STRIDE a LINDDUN podľa komponentu, pokryté scenáre a prijaté kompromisy uvedené bez eufemizmov. Aktualizované pri každej väčšej zmene architektúry.
Prečítať model hrozieb →
Detail použitých primitív (OpenPGP.js v6, Argon2id RFC 9106, AES-256-GCM SEIPDv2, HMAC-SHA-256). Jedno RFC pre každú voľbu, nič neprehľadné.
Prečítať kryptografický stack →
História produkčných incidentov zverejnená na stránke Stav, verejné post-mortemy pre významné incidenty. Pripravovaná samostatná stránka všetko centralizuje.
Aegirex je prevádzkovaný nezávislou francúzskou spoločnosťou, vedenou svojím zakladateľom. Žiadny rizikový kapitál, žiadny pivot v pláne, obchodný model založený výhradne na predplatných klientov.
ARDNTECH EI je francúzska spoločnosť (zjednodušená akciová spoločnosť jedného spoločníka, francúzske právo), ktorú vedie Adrien Chaumarat, s viac ako 10 rokmi skúseností v B2B SaaS softvérovom vydavateľstve. Žiadny rizikový kapitál v kapitálovej štruktúre, žiadny strategický pivot v pláne : projekt je financovaný výhradne z predplatných svojich klientov. Táto kapitálová nezávislosť priamo podmieňuje stabilitu záväzkov prijatých na tejto stránke (suverenita, AGPL-3.0, odmietnutie predaja dát, trajektória súladu).
Prečítajte si verejné štandardné DPA, prezrite si kód AGPL-3.0, vykonajte overenie audit chain na výpise vašej inštancie, prerokujte s tímom váš regulačný rámec. Aegirex dodá podklady, váš tím si vytvorí vlastný názor.
