Jak funguje zabezpečení v Macaly
Bezpečnost webové aplikace závisí na platformě i na člověku, který na ní staví. Macaly se stará o infrastrukturu: hosting, šifrování, knihovnu pro autentizaci, edge ochranu, izolované databáze a průběžné bezpečnostní aktualizace. Vy rozhodujete o aplikační vrstvě: jaká data váš projekt ukládá, kdo k nim má přístup a jak jsou vaši uživatelé informováni. Díky tomu nemusíte nastavovat servery, certifikáty ani autentizační knihovny od nuly. Zároveň to znamená, že rozhodnutí o vašich datech a vašich uživatelích zůstávají tam, kde mají být – u vás.Pokud váš projekt ukládá osobní údaje koncových uživatelů, Macaly vystupuje jako zpracovatel dat a vy se stáváte správcem dat. Podrobnosti najdete v naší Smlouvě o zpracování údajů (DPA).
Co je součástí platformy
Hosting a umístění dat
Publikované projekty jsou hostované v EU regionu Vercelu (Frankfurt). Databáze běží na Convexu EU West (Irsko). Obojí stojí za edge sítí Vercel, která doručuje obsah ze serverů blíž k vašim návštěvníkům a filtruje škodlivý provoz dřív, než se dostane k vašemu projektu. Každý projekt v Macaly má vlastní izolovanou databázi, takže data z jednoho projektu se nikdy nemíchají s jiným. Můžete si také vybrat, v jakém regionu mají běžet AI modely, které agent používá při vytváření projektů. Pokud potřebujete, aby vaše data zůstala v EU, můžete si zvolit modely hostované pouze v EU. Seznam dostupných modelů a zemí, kde jsou hostovány, najdete v článku AI modely.Šifrování
Data jsou šifrovaná při přenosu i v úložišti:- HTTPS je vynucené na každém publikovaném projektu
- Data v úložišti jsou šifrovaná u našich poskytovatelů hostingu a databází
- Citlivé přihlašovací údaje, které Macaly interně používá, jsou před uložením zašifrovány
Autentizace
Integrovaná autentizace v Macaly používá standardní knihovnu, která zajišťuje hashování hesel, správu sessions a jednorázové kódy. K dispozici jsou dva způsoby přihlášení:- OTP přihlášení – ověření e-mailovým kódem bez hesla
- E-mail a heslo – registrace, ověření a resetování hesla
Agent s bezpečnými výchozími nastaveními
Agent Macaly se řídí vestavěnými postupy, které platí pro každý projekt. Autentizace, přístupy k databázi, práce s citlivými údaji a nastavení integrací vychází ze zavedených výchozích hodnot, takže je nemusíte nastavovat od nuly. Agent běží v bezpečném sandbox prostředí a má přístup ke skutečným vývojářským nástrojům, takže může projekt sestavit, spustit a otestovat v izolovaném prostředí. Agenta se také můžete kdykoli zeptat, jak je konkrétní část vašeho projektu chráněná, nebo ho požádat o úpravu podle vašich potřeb. Praktické rady najdete v článku Vytváření bezpečných aplikací.Transparentnost AI
Macaly dává lidem vědět, když je ve hře AI. Upozornění nad promptem vysvětluje, že pracujete s AI agentem, a publikované projekty nesou v hlavičce strojově čitelnou značkuai-generated a ve výchozím nastavení také odznak Made with AI in Macaly.
Tohle pokrývá platformu. Upozornění týkající se vašeho vlastního projektu, třeba chatbota, kterého stavíte pro své koncové uživatele, zůstávají na vás. Kde přesně je hranice, popisuje Odpovědné používání AI.
Edge ochrana a aktualizace
Edge síť a bezpečnostní mechanismy platformy Vercel automaticky zachytávají běžné typy útoků, včetně DDoS a základního filtrování botů. Bezpečnostní opravy naší infrastruktury a závislostí se průběžně nasazují na všechny projekty, takže aktualizace nemusíte sledovat ani sami nasazovat.Skenování zranitelností a bezpečnostní kontroly
Macaly skenuje publikované Next.js aplikace na známé zranitelnosti frameworku. Pokud najde kritický problém, publikování zůstane zablokované, dokud problém nevyřešíte kliknutím na tlačítko Opravit nyní, které rovnou pošle opravu agentovi. Kdykoli také můžete spustit kompletní bezpečnostní kontrolu projektu. Záložka Zabezpečení ve vašem chatu projde kód, srozumitelně popíše nálezy v osmi oblastech od přístupových oprávnění po platby a opravy umí rovnou provést za vás. První kontrola v každém chatu je zdarma.Co zůstává na vás
Když publikujete projekt na Macaly, aplikace samotná je vaše. Několik věcí přirozeně zůstává ve vašich rukou, protože závisí na vašem projektu a vašich uživatelích.Data a soulad s předpisy
Vy rozhodujete, jaká data váš projekt sbírá a ukládá. Soulad s GDPR, CCPA a dalšími zákony, které se vztahují na vaše koncové uživatele, je dobré řešit už při tvorbě projektu. V praxi to většinou znamená:- Informovat uživatele o tom, jak se s jejich daty nakládá
- Přidat zásady ochrany osobních údajů, pokud projekt sbírá osobní data
- Přidat cookie lištu, pokud projekt cílí na návštěvníky z EU
- Být schopni vyřídit žádosti uživatelů o přístup k datům, jejich opravu nebo smazání
Řízení přístupu ve vaší aplikaci
Agent dokáže vytvořit autentizaci, přístupy na základě rolí a zajistit, aby každý uživatel viděl jen svá data. Jak to bude ve vašem projektu nastavené a kdo uvidí co, závisí na tom, jak svůj záměr popíšete. Podrobnější informace najdete v článku Vytváření bezpečných aplikací.Zálohy
Macaly nabízí několik pojistek pro váš projekt i vaše data:- Verze projektu se ukládají průběžně, jak agent pracuje. Starší verzi můžete obnovit u kterékoli zprávy v chatu.
- Zdrojový kód projektů napojených na git je spolehlivě zálohovaný na straně Macaly.
- Snapshoty databáze si můžete kdykoli exportovat jako ZIP soubor ze záložky Databáze, když chcete mít vlastní kopii svých dat.
- Integrace s GitHubem (plán Pro a vyšší) – zálohuje zdrojový kód projektu do soukromého repozitáře
- Duplikování chatů vytvoří nezávislou kopii projektu jako bezpečnostní bod před většími změnami
AI funkce ve vaší aplikaci
Pokud váš projekt obsahuje AI funkce pro koncové uživatele, jako jsou chatboty, generování obsahu nebo AI souhrny, jejich konfigurace a výstupy jsou součástí vašeho projektu. Vaši koncoví uživatelé musí vědět, kdy komunikují s AI, a upozornění, které Macaly zobrazuje ve své aplikaci, se do toho, co publikujete, nepřenáší. Co a kam přidat, popisuje Odpovědné používání AI.Platby
Macaly není platební zpracovatel a neukládá ani nepřenáší údaje z karet. Pokud váš projekt přijímá platby, použijte hostovaného poskytovatele plateb, který zpracovává karty na vlastní infrastruktuře. Neukládejte čísla karet, CVC ani jiná surová platební data do databáze projektu.Pro jaké typy projektů se Macaly hodí
Macaly se hodí pro marketingové weby, landing pages, interní nástroje, dashboardy, MVP a malé až střední webové aplikace. Funguje skvěle tam, kde chcete rychle pracovat a iterovat podle reálné zpětné vazby. U projektů pracujících s přísně regulovanými daty může být potřeba další práce nad rámec toho, co Macaly zajišťuje automaticky. To se týká zejména:- Zdravotnických dat podléhajících HIPAA nebo podobným regulacím
- Surových dat platebních karet podléhajících PCI DSS
- Aplikací cílených na děti do 13 let (COPPA) nebo do 18 let