אבטחה ראשונה
הנתונים שלך בידיים בטוחות
WorkPilot בנויה לפי best practices של אבטחת מידע. הנה כל מה שחשוב לדעת.
הצפנה
- TLS 1.3 לכל התקשורת בין הלקוח לשרת
- סיסמאות מוצפנות עם bcrypt (cost factor 12)
- מפתחות API מוצפנים בעמסה (encryption at rest)
- JWT tokens עם חתימה HS256
אימות וגישה
- אימות דו-שלבי (2FA) עם TOTP — Google Authenticator/Authy
- הגבלה על ניסיונות התחברות (rate limiting)
- אכיפת 2FA למנהלים (אופציונלי בהגדרות הארגון)
- נעילת חשבון אחרי 5 ניסיונות שגויים
- OTP חד-פעמי לפורטל לקוחות
בידוד נתונים (Multi-Tenancy)
- בידוד מלא בין ארגונים ברמת ה-DB
- Prisma extension שמזריק organizationId לכל query אוטומטית
- Defense-in-depth: גם אם route ישכח לסנן, ה-DB לא יחזיר נתונים מארגון אחר
- אישור post-fetch על findUnique כדי למנוע leakage
תיעוד ומעקב (Audit Log)
- תיעוד אוטומטי של כל פעולת מחיקה / שינוי הרשאות
- תיעוד IP address ו-impersonation
- דף צפייה ייעודי לאדמין
- נשמר תמידית — לא ניתן למחיקה דרך ה-UI
הרשאות וצוותים
- תפקידים: ADMIN, OFFICE, TECHNICIAN
- הרשאות מותאמות אישית ברמת הארגון
- טכנאים רואים רק את הקריאות שלהם
- אפשרות החלפה בין ארגונים מבלי להתנתק
תשתית
- PostgreSQL בענן עם הצפנה ב-rest
- גיבויים יומיים אוטומטיים
- CDN של Cloudflare/Coolify לתעבורה גלובלית
- מוניטורינג ו-uptime checks
פרטיות ו-Compliance
- תואם חוק הגנת הפרטיות הישראלי
- תואם GDPR (עבור משתמשים אירופיים)
- אין מכירת נתונים לצדדים שלישיים
- זכות מחיקה ו-data portability
זמינות
- יעד SLA: 99.5% uptime
- תחזוקה מתוכננת בהודעה מראש
- גיבויים יומיים עם RTO < 4 שעות
- מערכת התראות פנימיות לזיהוי תקלות
מצאת פגיעה באבטחה?
אם גילית פרצת אבטחה או חשש לחולשה, אנא דווח לנו מיד. אנחנו מתחייבים להגיב תוך 24 שעות ולא נינקט פעולה משפטית כנגד חוקרי אבטחה אחראיים.
דווח על פגיעה ← security@work-pilot.app