Hogyan működik a biztonság a Macalyban
Minden webalkalmazás biztonságában részt vesz az alatta lévő platform és az is, aki ráépít. A Macaly az infrastruktúra rétegéről gondoskodik: tárhely, titkosítás, hitelesítési könyvtár, peremhálózati védelem, izolált adatbázisok és folyamatos biztonsági frissítések. Te az alkalmazás rétegéért felelsz: milyen adatokat tárol a projekted, ki fér hozzájuk, és hogyan tájékoztatod a végfelhasználóidat. Ez a munkamegosztás azt jelenti, hogy nem kell nulláról szervereket, tanúsítványokat vagy hitelesítési könyvtárakat beállítanod. Azt is jelenti, hogy az adataidról és a felhasználóidról szóló döntések nálad maradnak, ahol a helyük van.Ha a projekted a végfelhasználóid személyes adatait tárolja, a Macaly adatfeldolgozóként jár el, te pedig adatkezelő maradsz. A teljes részletek az adatfeldolgozási megállapodásunkban (DPA) találhatók.
Ami be van építve
Tárhely és adattárolási hely
A közzétett projektek a Vercel EU-s régiójában (Frankfurt) futnak. Az adatbázisok a Convex EU West (Írország) régiójában működnek. Mindkettő a Vercel peremhálózata mögött áll, amely a látogatóidhoz közelebbi szerverekről szolgálja ki a tartalmat, és a támadó forgalmat még a projekted elérése előtt mérsékli. Minden Macaly-projekt saját izolált adatbázist kap, így az egyik projekt adatai soha nem keverednek egy másikéval. Azt is kiválaszthatod, melyik régióban futnak azok az AI-modellek, amelyeket az ügynök a projektjeid építéséhez használ. Ha azt szeretnéd, hogy az adataid az EU-n belül maradjanak, választhatsz kizárólag EU-ban üzemeltetett modelleket. Az elérhető modellek és az üzemeltetésük országainak listáját lásd az AI-modellek oldalon.Titkosítás
Az adatok átvitel közben és tárolva is titkosítva vannak:- Minden közzétett projekten kötelező a HTTPS
- A tárolt adatokat a tárhely- és adatbázis-szolgáltatóink titkosítják
- A Macaly belsőleg használt érzékeny hitelesítő adatai tárolás előtt titkosítva vannak
Hitelesítés
A Macaly beépített hitelesítése iparági szabványnak megfelelő könyvtárat használ, amely kezeli a jelszavak hashelését, a munkamenetek kezelését és az egyszer használatos kódokat. Két módszer érhető el:- OTP-bejelentkezés jelszó nélküli, e-mailben kapott kóddal történő hitelesítéshez
- E-mail-címes és jelszavas bejelentkezés regisztrációval, ellenőrzéssel és jelszó-visszaállítással
Alapból biztonságos ügynök
A Macaly ügynököt beépített gyakorlatok vezérlik, amelyek minden projektre érvényesek. A hitelesítés, az adatbázis-hozzáférési minták, a titkos adatok kezelése és az integrációk beállítása bevált alapbeállításokat követ, nem pedig minden alkalommal nulláról áll össze. Az ügynök biztonságos sandboxban, valódi fejlesztőeszközökkel dolgozik, így izolált környezetben tudja megépíteni, futtatni és tesztelni a projektedet. Bármikor megkérheted az ügynököt, hogy mutassa be, hogyan védett a projekted egy adott része, vagy módosítson valamit az igényeid szerint. Gyakorlati tanácsokért lásd a Biztonságos alkalmazások építése oldalt.AI-átláthatóság
A Macaly jelzi az embereknek, ha AI is részt vesz a munkában. A prompt fölötti értesítés elmagyarázza, hogy AI-ügynökkel dolgozol, a közzétett projektek pedig géppel olvashatóai-generated címkét kapnak a head részükben, alapértelmezés szerint pedig egy Made with AI in Macaly jelvényt is.
Ez a platformra vonatkozik. A saját projektedre vonatkozó tájékoztatás, például egy végfelhasználóidnak épített chatbot esetében, nálad marad. Hogy hol húzódik a határ, azt az Az AI felelős használata oldalon találod.
Peremhálózati védelem és frissítések
A Vercel peremhálózata és platformvédelme automatikusan kezeli a gyakori visszaélési mintákat, köztük a DDoS-támadások mérséklését és az alapszintű botszűrést. Az infrastruktúránkat és az alapul szolgáló függőségeket érintő biztonsági javítások folyamatosan megjelennek az összes projekten, így neked nem kell nyomon követned vagy telepítened a javításokat.Sebezhetőségvizsgálat és biztonsági ellenőrzések
A Macaly átvizsgálja a Next.js- és TanStack Start-projekteket az ismert keretrendszer-sebezhetőségek után. Ha kritikus hibát talál, a közzététel mindaddig blokkolva marad, amíg rá nem kattintasz a Javítsd ki most gombra, amely a javítást közvetlenül az ügynöknek küldi. Bármikor futtathatsz teljes biztonsági ellenőrzést is a projekteden. A chatben a Biztonság fül átolvassa a kódodat, közérthetően jelzi, mit talált nyolc területen, a hozzáférési jogosultságoktól a fizetésekig, és a javításokat is el tudja végezni helyetted. Minden beszélgetésben az első ellenőrzés ingyenes.Ami a te kezedben van
Amikor közzéteszel egy projektet a Macalyban, maga az alkalmazás a tiéd. Néhány dolog természetes módon nálad marad, mert a projektedtől és a felhasználóidtól függ.Adatok és megfelelés
Te döntöd el, milyen adatokat gyűjt és tárol a projekted. A GDPR, a CCPA és a végfelhasználóidra vonatkozó egyéb jogszabályok betartását az építés részeként érdemes megtervezni. A gyakorlatban ez általában azt jelenti, hogy:- Tájékoztatod a felhasználóidat arról, hogyan kezeled az adataikat
- Adatvédelmi tájékoztatót helyezel el, ha a projekted személyes adatokat gyűjt
- Cookie-bannert is megjelenítesz, ha a projekted EU-s látogatókat szolgál ki
- Képes vagy kezelni a felhasználók hozzáférési, helyesbítési és törlési kéréseit
Az alkalmazásod hozzáférés-szabályozása
Az ügynök képes hitelesítést, szerepköralapú hozzáférést építeni, és gondoskodni arról, hogy minden felhasználó csak a saját adatait lássa. Hogy ezek hogyan vannak beállítva a projektedben, és ki mit lát, az attól függ, mit írsz le. A következő oldal, a Biztonságos alkalmazások építése azt mutatja be, hogyan csináld ezt jól.Biztonsági mentések
A Macaly több védelmi réteget nyújt a projektednek és az adataidnak:- A projektverziók mentődnek, miközben az ügynök dolgozik. A chat bármelyik üzenetéből visszaállíthatsz egy korábbi verziót.
- A git-alapú projektek forráskódját a Macaly oldalán tartósan mentjük.
- Az adatbázis-pillanatképeket ZIP-fájlként exportálhatod az Adatbázis fülről, amikor saját másolatot szeretnél az adataidról.
- A GitHub-integráció (Pro és magasabb csomag) privát tárolóba menti a projekted forráskódját
- A beszélgetések duplikálása önálló másolatot készít a projektedről biztonsági pontként nagyobb változtatások előtt
AI-funkciók az alkalmazásodban
Ha a projekted AI-funkciókat tartalmaz a végfelhasználóknak, például chatbotot, tartalomgenerálást vagy összefoglalást, a beállításuk és a kimeneteik a projekted részei. A végfelhasználóidnak tudniuk kell, ha AI-jal kommunikálnak, és a Macaly saját alkalmazáson belüli értesítése nem öröklődik arra, amit közzéteszel. Az Az AI felelős használata oldal leírja, mit és hova érdemes betenni.Fizetések
A Macaly nem fizetésfeldolgozó, és nem tárol, illetve nem továbbít kártyaadatokat. Ha a projekted fizetéseket fogad, használj olyan külső fizetési szolgáltatót, amely a kártyákat a saját infrastruktúráján kezeli. Ne tárolj kártyaszámot, CVC-kódot vagy más nyers fizetési adatot a projekted adatbázisában.Mikor a Macaly a megfelelő választás
A Macaly bemutatkozó weboldalakhoz, landing oldalakhoz, belső eszközökhöz, irányítópultokhoz, MVP-khez, valamint kis és közepes webalkalmazásokhoz készült. Jól működik olyan projekteknél, ahol gyorsan szeretnél haladni, és a valódi visszajelzések alapján finomítani. Az erősen szabályozott adatokat érintő projektekhez a Macaly alapértelmezett megoldásain túl további megfelelőségi munkára lehet szükség. Ide tartoznak:- A HIPAA vagy hasonló szabályozás hatálya alá tartozó egészségügyi adatok
- A PCI DSS hatálya alá tartozó nyers fizetésikártya-adatok
- A 13 év alatti (COPPA) vagy 18 év alatti gyerekeknek szóló alkalmazások