Přehled zabezpečení

Každý projekt, který v Vibewax vytvoříte, vzniká na bezpečných základech. Šifrování, hosting v EU, autentizace, izolované databáze a edge ochrana jsou součástí vašeho projektu hned od začátku. Tato stránka popisuje, co běží na pozadí, takže se o to nemusíte starat, a co naopak zůstává na vás jako na někom, kdo projekt publikuje.

Jak funguje zabezpečení v Vibewax

Bezpečnost webové aplikace závisí na platformě i na člověku, který na ní staví. Vibewax se stará o infrastrukturu: hosting, šifrování, knihovnu pro autentizaci, edge ochranu, izolované databáze a průběžné bezpečnostní aktualizace. Vy rozhodujete o aplikační vrstvě: jaká data váš projekt ukládá, kdo k nim má přístup a jak jsou vaši uživatelé informováni.

Díky tomu nemusíte nastavovat servery, certifikáty ani autentizační knihovny od nuly. Zároveň to znamená, že rozhodnutí o vašich datech a vašich uživatelích zůstávají tam, kde mají být – u vás.

Co je součástí platformy

Hosting a umístění dat

Publikované projekty jsou hostované v EU regionu (Frankfurt). Databáze běží v EU West (Irsko). Obojí stojí za edge sítí, která doručuje obsah ze serverů blíž k vašim návštěvníkům a filtruje škodlivý provoz dřív, než se dostane k vašemu projektu.

Každý projekt v Vibewax má vlastní izolovanou databázi, takže data z jednoho projektu se nikdy nemíchají s jiným.

Můžete si také vybrat, v jakém regionu mají běžet AI modely, které agent používá při vytváření projektů. Pokud potřebujete, aby vaše data zůstala v EU, můžete si zvolit modely hostované pouze v EU. Seznam dostupných modelů a zemí, kde jsou hostovány, najdete v článku AI modely.

Šifrování

Data jsou šifrovaná při přenosu i v úložišti:

HTTPS je vynucené na každém publikovaném projektu
Data v úložišti jsou šifrovaná u našich poskytovatelů hostingu a databází
Citlivé přihlašovací údaje, které Vibewax interně používá, jsou před uložením zašifrovány

Autentizace

Integrovaná autentizace v Vibewax používá standardní knihovnu, která zajišťuje hashování hesel, správu sessions a jednorázové kódy. K dispozici jsou dva způsoby přihlášení:

OTP přihlášení – ověření e-mailovým kódem bez hesla
E-mail a heslo – registrace, ověření a resetování hesla

Nemusíte nastavovat žádnou samostatnou autentizační službu. Popište v promptu, co potřebujete, a agent vše propojí s databází vašeho projektu.

Agent s bezpečnými výchozími nastaveními

Agent Vibewax se řídí vestavěnými postupy, které platí pro každý projekt. Autentizace, přístupy k databázi, práce s citlivými údaji a nastavení integrací vychází ze zavedených výchozích hodnot, takže je nemusíte nastavovat od nuly.

Agent běží v bezpečném sandbox prostředí a má přístup ke skutečným vývojářským nástrojům, takže může projekt sestavit, spustit a otestovat v izolovaném prostředí.

Agenta se také můžete kdykoli zeptat, jak je konkrétní část vašeho projektu chráněná, nebo ho požádat o úpravu podle vašich potřeb. Praktické rady najdete v článku Vytváření bezpečných aplikací.

Transparentnost AI

Vibewax dává lidem vědět, když je ve hře AI. Upozornění nad promptem vysvětluje, že pracujete s AI agentem, a publikované projekty nesou v hlavičce strojově čitelnou značku ai-generated.

Tohle pokrývá platformu. Upozornění týkající se vašeho vlastního projektu, třeba chatbota, kterého stavíte pro své koncové uživatele, zůstávají na vás. Kde přesně je hranice, popisuje Odpovědné používání AI.

Edge ochrana a aktualizace

Edge síť a bezpečnostní mechanismy platformy automaticky zachytávají běžné typy útoků, včetně DDoS a základního filtrování botů. Bezpečnostní opravy naší infrastruktury a závislostí se průběžně nasazují na všechny projekty, takže aktualizace nemusíte sledovat ani sami nasazovat.

Skenování zranitelností a bezpečnostní kontroly

Vibewax skenuje publikované Next.js aplikace na známé zranitelnosti frameworku. Pokud najde kritický problém, publikování zůstane zablokované, dokud problém nevyřešíte kliknutím na tlačítko Opravit nyní, které rovnou pošle opravu agentovi.

Kdykoli také můžete spustit kompletní bezpečnostní kontrolu projektu. Záložka Zabezpečení ve vašem chatu projde kód, srozumitelně popíše nálezy v osmi oblastech od přístupových oprávnění po platby a opravy umí rovnou provést za vás. První kontrola v každém chatu je zdarma.

Co zůstává na vás

Když publikujete projekt na Vibewax, aplikace samotná je vaše. Několik věcí přirozeně zůstává ve vašich rukou, protože závisí na vašem projektu a vašich uživatelích.

Data a soulad s předpisy

Vy rozhodujete, jaká data váš projekt sbírá a ukládá. Soulad s GDPR, CCPA a dalšími zákony, které se vztahují na vaše koncové uživatele, je dobré řešit už při tvorbě projektu. V praxi to většinou znamená:

Informovat uživatele o tom, jak se s jejich daty nakládá
Přidat zásady ochrany osobních údajů, pokud projekt sbírá osobní data
Přidat cookie lištu, pokud projekt cílí na návštěvníky z EU
Být schopni vyřídit žádosti uživatelů o přístup k datům, jejich opravu nebo smazání

S většinou z toho vám agent Vibewax dokáže pomoct. Přidání zásad ochrany osobních údajů, cookie lišty nebo procesu pro smazání dat je běžná součást práce na projektu.

Řízení přístupu ve vaší aplikaci

Agent dokáže vytvořit autentizaci, přístupy na základě rolí a zajistit, aby každý uživatel viděl jen svá data. Jak to bude ve vašem projektu nastavené a kdo uvidí co, závisí na tom, jak svůj záměr popíšete. Podrobnější informace najdete v článku Vytváření bezpečných aplikací.

Zálohy

Vibewax nabízí několik pojistek pro váš projekt i vaše data:

Verze projektu se ukládají průběžně, jak agent pracuje. Starší verzi můžete obnovit u kterékoli zprávy v chatu.
Zdrojový kód projektů napojených na git je spolehlivě zálohovaný na straně Vibewax.
Snapshoty databáze si můžete kdykoli exportovat jako ZIP soubor ze záložky Databáze, když chcete mít vlastní kopii svých dat.

U projektů napojených na Git se zdrojový kód zálohuje do spravované služby Git a neměnných snímků v soukromém úložišti. Obnovení verze projektu změní jeho kód, nikoli záznamy v databázi nebo soubory nahrané uživateli aplikace. Vlastní kopii tabulek a řádků vytvoříte exportem na kartě Databáze; ZIP nahrané soubory neobsahuje. Import exportu nahradí data v cílové databázi. Podrobnosti najdete v návodu k exportu a obnově.

Data ale stále patří vám, takže doporučujeme vytvářet si vlastní kopie, hlavně před významnými úpravami:

Integrace s GitHubem – zálohuje zdrojový kód projektu do soukromého repozitáře
Duplikování chatů vytvoří nezávislou kopii projektu jako bezpečnostní bod před většími změnami

AI funkce ve vaší aplikaci

Pokud váš projekt obsahuje AI funkce pro koncové uživatele, jako jsou chatboty, generování obsahu nebo AI souhrny, jejich konfigurace a výstupy jsou součástí vašeho projektu. Vaši koncoví uživatelé musí vědět, kdy komunikují s AI, a upozornění, které Vibewax zobrazuje ve své aplikaci, se do toho, co publikujete, nepřenáší. Co a kam přidat, popisuje Odpovědné používání AI.

Platby

Vibewax není platební zpracovatel a neukládá ani nepřenáší údaje z karet. Pokud váš projekt přijímá platby, použijte hostovaného poskytovatele plateb, který zpracovává karty na vlastní infrastruktuře. Neukládejte čísla karet, CVC ani jiná surová platební data do databáze projektu.

Pro jaké typy projektů se Vibewax hodí

Vibewax se hodí pro marketingové weby, landing pages, interní nástroje, dashboardy, MVP a malé až střední webové aplikace. Funguje skvěle tam, kde chcete rychle pracovat a iterovat podle reálné zpětné vazby.

U projektů pracujících s přísně regulovanými daty může být potřeba další práce nad rámec toho, co Vibewax zajišťuje automaticky. To se týká zejména:

Zdravotnických dat podléhajících HIPAA nebo podobným regulacím
Surových dat platebních karet podléhajících PCI DSS
Aplikací cílených na děti do 13 let (COPPA) nebo do 18 let

Pokud váš projekt spadá do jedné z těchto oblastí, je dobré se poradit s právníky nebo specialisty na compliance. Vibewax i tak může pomoct s částí práce, ale z hlediska compliance potřebuje takový projekt lidskou expertízu.

Nahlášení bezpečnostního problému

Pokud narazíte na něco, co vypadá jako bezpečnostní problém, dejte nám prosím vědět. Kontaktujte podporu a pošlete nám popis problému a kroky k reprodukci a my se na to podíváme co nejdříve.

Pokud máte podezření, že někdo získal neoprávněný přístup k vaší publikované aplikaci, kontaktujte podporu hned. Samotné obnovení kódu nemusí problém vyřešit. Pošlete odkaz na projekt a publikovaný web, kdy jste si problému všimli a co se změnilo. Neposílejte hesla ani API klíče.

Compliance a právní dokumenty

Všechny podrobnosti o zpracování dat, subdodavatelích a smluvních podmínkách najdete zde: