---

Последнее обновление: 16 июля 2025 года

Данный перевод предоставляется исключительно для удобства. Английская версия данного документа является юридически обязательным соглашением.

Blue обеспечивает корпоративный уровень безопасности и бесшовную масштабируемость для ваших критически важных процессов. Разработанная для высокой доступности и доверенная 15,000+ командами в 120+ странах, Blue обеспечивает ваши глобальные операции с уверенностью.

Наша платформа построена на надежной архитектуре, которая приоритизирует как безопасность, так и масштабируемость с самого основания. Мы понимаем, что по мере роста вашего бизнеса ваши потребности в управлении проектами развиваются, и Blue создан для роста вместе с вами. Независимо от того, являетесь ли вы небольшой командой или крупным предприятием, наша система может эффективно и безопасно обрабатывать вашу рабочую нагрузку.

Безопасная и масштабируемая платформа

Blue обеспечивает высочайший уровень безопасности и масштабируемости для ваших потребностей в управлении проектами. Наши корпоративные меры защищают ваши данные и позволяют вам расти без ограничений.

Мы внедрили архитектуру безопасности глубокой защиты с множественными защитными слоями:

Защита API

• Интеллектуальное ограничение скорости: Лимиты, специфичные для операций, предотвращают злоупотребления, сохраняя при этом удобство использования (например, 5 запросов/60с для общих операций, 1 запрос/50с для экспорта)
• Ограничение глубины запросов: Максимум 10 уровней глубины для предотвращения циклических GraphQL атак
• Лимиты размера запросов: 256MB для GraphQL операций, с большими лимитами для прямой загрузки файлов
• Заголовки безопасности: Интеграция Helmet.js обеспечивает X-Frame-Options, X-Content-Type-Options и другие защитные заголовки

Защита данных

• Санитизация ввода: Весь пользовательский HTML контент санитизируется с использованием подхода белого списка
• Предотвращение SQL-инъекций: Параметризованные запросы через Prisma ORM исключают риски SQL-инъекций
• Защита от XSS: Как серверная санитизация, так и экранирование Vue.js шаблонов предотвращают межсайтовый скриптинг
• Валидация загрузки файлов: Проверка MIME типов, валидация расширений и санитизация имен файлов для всех загрузок

Шифрование корпоративного уровня

Blue реализует военное шифрование AES-256-GCM с аутентифицированным шифрованием для защиты ваших конфиденциальных данных.

Мы используем шифрование AES-256 в режиме Galois/Counter Mode (GCM) с выводом ключа PBKDF2 с использованием 100,000 итераций. Это аутентифицированное шифрование не только защищает ваши данные, но и гарантирует, что они не были изменены. Каждая операция шифрования использует уникальную соль и вектор инициализации (IV), делая каждый элемент зашифрованных данных криптографически уникальным. Все данные, передаваемые между вашими устройствами и нашими серверами, шифруются с использованием TLS 1.2 или выше, с WebSocket соединениями, автоматически обновляющимися до WSS (WebSocket Secure) для функций реального времени.

Передовые системы защиты

Blue использует множественные слои автоматизированной защиты для обеспечения безопасности и надежности платформы.

Защита в реальном времени

• Ограничение скорости по операциям: Различные API операции имеют адаптированные лимиты скорости (5 зап/60с для общих операций, 1 зап/50с для экспорта, 3 зап/60с для операций, чувствительных к безопасности)
• Автоматизированное обнаружение угроз: Неудачные попытки аутентификации и подозрительные паттерны запускают автоматические защитные меры
• Анализ сложности запросов: Глубокие GraphQL запросы ограничены 10 уровнями с логированием запросов, приближающихся к лимитам
• Защита CORS и CSRF: Межсайтовые запросы валидируются с правильными учетными данными и атрибутами SameSite cookie

Безопасность инфраструктуры

• Ограничение скорости на основе Redis: Распределенное ограничение скорости по всем серверам обеспечивает последовательную защиту
• Безопасная обработка файлов: Загрузки файлов валидируются по MIME типам, расширениям и лимитам размера (256MB GraphQL, 4.8GB прямая)
• Безопасность на основе среды: Различные конфигурации безопасности для разработки, стейджинга и производственных сред
• Поддержка ротации ключей: Отдельные секреты для токенов доступа и обновления позволяют независимую ротацию ключей

Многоуровневая аутентификация и авторизация

Blue реализует сложную систему аутентификации с множественными слоями защиты.

Методы аутентификации

• Двухтокенная JWT система: Короткоживущие токены доступа (15 минут) в паре с более длительными токенами обновления (60 дней) минимизируют окна воздействия
• Персональные токены доступа (PAT): Для API интеграций, хешируются с bcrypt перед хранением и валидируются при каждом запросе
• Firebase Authentication: Бесшовная интеграция для веб и мобильных приложений с автоматическим управлением токенами
• Коды безопасности на основе email: Ограниченные по времени коды для чувствительных операций с автоматической очисткой после использования

Детальная авторизация

Наш GraphQL API использует Shield middleware для обеспечения разрешений на уровне полей. Мы реализуем контроль доступа на основе ролей (RBAC) с шестью различными уровнями разрешений: Владелец, Администратор, Участник, Клиент, Только просмотр и Только комментарии. Эти разрешения контекстно-зависимы, проверяя как доступ на уровне компании, так и на уровне проекта для каждой операции.

Помимо стандартных ролей, Blue поддерживает пользовательские роли пользователей, которые обеспечивают еще более детальный контроль доступа. Организации могут создавать адаптированные роли с специальными разрешениями, такими как canCreateRecords, canEditRecords, canDeleteRecords и canViewAnalytics, позволяя точный контроль над тем, что может делать каждый член команды. Пользовательские роли могут применяться как на уровне компании, так и на уровне проекта, обеспечивая различные наборы разрешений для разных проектов. Специальные правила обрабатывают архивированные проекты и неактивные компании, чтобы гарантировать защиту данных даже в пограничных случаях.

Непрерывный мониторинг безопасности

Blue реализует комплексный мониторинг для поддержания целостности безопасности.

Наши системы включают мониторинг в реальном времени событий безопасности, неудачных попыток аутентификации и необычных паттернов доступа. Ограничение скорости автоматически предотвращает атаки грубой силы, в то время как ограничение глубины запросов защищает от истощения ресурсов. Все события, связанные с безопасностью, логируются с детальными аудиторскими следами, обеспечивая быстрое расследование любой подозрительной активности.

Ежедневное резервное копирование данных

Ваши данные резервируются ежедневно для обеспечения целостности данных и быстрого восстановления после сбоев при необходимости.

Мы выполняем автоматизированные ежедневные резервные копии всех клиентских данных, храня эти резервные копии в безопасных, географически разнообразных местах. Дополнительно, наша платформа реализует комплексную безопасность сессий:

Управление сессиями

• Безопасные cookies: Все сессионные cookies используют флаги httpOnly (предотвращает JavaScript доступ), secure (только HTTPS) и sameSite='strict' (защита CSRF)
• Ротация токенов: Токены обновления автоматически ротируются при входе в систему для предотвращения атак повтора токенов
• Изоляция доменов: Мультитенантная безопасность через специфичные для домена настройки cookie
• Автоматическое истечение: Сессии истекают после определенных периодов с безопасной очисткой артефактов аутентификации

Техническая реализация безопасности

Безопасность Blue встроена в каждый слой архитектуры нашего приложения.

Безопасность фронтенда

• Нет локального хранения токенов: Токены аутентификации управляются Firebase SDK, никогда не хранятся в localStorage
• Автоматическое обновление токенов: Токены обновляются бесшовно до истечения
• Охранники маршрутов: Каждая страница валидирует разрешения пользователя перед рендерингом
• Валидация форм: Комплексная клиентская валидация с VeeValidate перед отправкой на сервер

Архитектура безопасности бэкенда

• GraphQL Shield: Каждая API операция защищена специальными правилами разрешений
• Prisma ORM: Типобезопасные запросы к базе данных предотвращают атаки инъекций
• Системы на основе Redis: Ограничение скорости и управление сессиями используют Redis для производительности и надежности
• Аудиторское логирование: Операции, чувствительные к безопасности, логируются для соответствия и отладки

Безопасность паролей и токенов

• BCrypt хеширование: Все пароли и персональные токены доступа используют bcrypt с соответствующими факторами работы
• Никакого хранения в открытом тексте: Конфиденциальные данные никогда не хранятся в читаемом формате
• Безопасное сравнение: Функции сравнения, безопасные по времени, предотвращают атаки по времени
• Одноразовые коды: Коды безопасности аннулируются немедленно после использования