[ Bezpečnost ]
Chránit dodavatelský řetězec začíná tím, že chráníme vaše vlastní data.
Tohle jsou konkrétní opatření, která běží v produkci — ne prohlášení o záměru. Kde to má smysl, je uvedeno i to, co jsme si sami ověřili, ne jen navrhli.
Data zůstávají v EU
Produkce běží na OVHcloud ve Francii. Žádný region mimo EU, žádný subprocesor mimo EU pro uložení dat zadavatele ani dodavatele.
Izolace mezi zadavateli na úrovni databáze
Aplikační filtr podle tenanta je jen první vrstva. Pod ním běží Postgres Row-Level Security v režimu FORCE — i chyba v kódu, která by filtr vynechala, se o cizí data nedostane, protože databáze sama je nepustí. Aplikace navíc běží pod vlastním, neprivilegovaným DB uživatelem bez práva RLS obejít.
Šifrování citlivých údajů v databázi
Kontaktní e-maily dodavatelů a další citlivá pole jsou šifrována AES-256-GCM. Každý zadavatel má vlastní odvozený klíč (HKDF z master klíče) — únik databázového výpisu jednoho zákazníka nejde rozšifrovat klíčem jiného.
Přihlášení odolné proti krádeži hesla
Hesla jsou hashovaná Argon2id (paměťově náročný algoritmus doporučený OWASP), nová hesla se kontrolují proti databázi uniklých hesel. Podporujeme Passkeys / WebAuthn jako phishing-resistentní alternativu k heslu. Přihlášení z neobvyklé lokace spouští dodatečné ověření.
Nezměnitelný audit záznam
Kdo co schválil, exportoval nebo změnil, se zapisuje do audit logu, který nese hash předchozího záznamu — dodatečná úprava řádku uprostřed řetězu je matematicky odhalitelná, ne jen "nezalogovaná". Ověřitelné vlastním endpointem, ne jen tvrzením.
Kontrola nahraných důkazů
Každý dokument nahraný jako důkaz k plnění ustanovení prochází antivirovou kontrolou. Pokud kontrola není dostupná, nahrání se odmítne — nikdy neprojde nekontrolovaný soubor jen proto, že skener zrovna neběžel.
Zálohy, které jsme si sami ověřili obnovou
Denní záloha databáze je šifrována veřejným klíčem přímo na serveru — server tak zálohu umí vytvořit, ale ne přečíst; soukromý klíč k dešifrování existuje jen mimo produkční infrastrukturu. Postup obnovy jsme reálně vyzkoušeli, ne jen napsali do dokumentace.
Ověřený dodavatelský řetězec vlastního software
Každý nasazený obraz aplikace prochází bezpečnostním skenem (Trivy) — nález kritické zranitelnosti nasazení zablokuje, ne jen nahlásí. Obrazy jsou kryptograficky podepsané (Cosign), takže je dohledatelné, z jakého zdrojového kódu vznikly.
Člověk rozhoduje, AI navrhuje
Návrhy AI vidí člověk před schválením a schvaluje přesně to znění, které jde do dokumentu — když se cokoli změní, schválení přestane platit. Dokument pro kontrolu NÚKIB lze vytvořit jen z takto schváleného hodnocení; jméno a funkce schvalovatele jsou v něm uvedené a každý návrh AI je v dokumentu označený a cituje konkrétní paragraf zákona.
[ Nahlášení zranitelnosti ]
Nálezy vítáme.
Popište dotčený endpoint nebo komponentu, kroky k reprodukci, dopad a případný PoC. Přijetí hlášení potvrdíme do 72 hodin.
security@raguard.czRozsah API a webová aplikace RAGUARD, veřejné endpointy (invite portál). Mimo rozsah: DoS/volumetrické útoky, social engineering, fyzická bezpečnost, nálezy vyžadující ukradené přihlašovací údaje třetí strany.
Safe harbor Testujte jen proti vlastnímu účtu/tenantovi. Nenarušujte dostupnost služby a nemodifikujte cizí data. Dejte nám přiměřený čas na opravu před zveřejněním. Vůči výzkumníkům jednajícím v dobré víře dle těchto pravidel nebudeme podnikat právní kroky.
Strojově čitelná verze: /.well-known/security.txt