Bezpieczeństwo i 2FA

Hasło, kod 2FA, kody zapasowe, zaufane urządzenia, aktywne sesje, blokady i dziennik zmian - od strony użytkownika i administratora.

Samlavik widzi całą korespondencję firmy, więc logowanie jest mocniejsze niż w zwykłym programie pocztowym.

Moje konto (Ustawienia › Moje konto)

Hasło - co najmniej 10 znaków. Po zmianie hasła wszystkie inne sesje zostają wylogowane.
Kod 2FA - aplikacja uwierzytelniająca (TOTP, 6 cyfr co 30 s). Po włączeniu dostajesz 8 kodów zapasowych, pokazanych raz.
Język - PL / EN / DE, niezależnie od reszty zespołu. Gęstość listy i podpis.

Kod 2FA nie zadziała dwa razy - drugi raz ten sam kod zostanie odrzucony nawet w tym samym oknie czasowym.

Ustawienia firmy (Ustawienia › Bezpieczeństwo, administrator)

2FA wymagane dla firmy - każdy przy logowaniu musi włączyć kod.
Aktywne sesje - przeglądarka, przybliżony adres (skrót, nie pełne IP), ostatnia aktywność; „Wyloguj” zdalnie.
Wylogowanie po bezczynności - domyślnie 8 godzin.
Blokada - 5 nieudanych prób = 15 minut przerwy, właściciel konta dostaje mail.

Dziennik (Ustawienia › Dziennik)

Kto, co, kiedy, którym kanałem, z jakiego źródła (panel, asystent, system). Wpisy m.in.: zmiany kanałów i uprawnień, wysyłki asystenta, odmowy wysyłki do adresu spoza wątku, STOP, logowania. Eksport CSV. Osoba bez dostępu do kanału nie widzi wpisów o nim.

Wylogowanie

Tylko przyciskiem w menu konta (żądanie z zabezpieczeniem CSRF). Sam adres „/logout” wpisany w przeglądarkę niczego nie robi - to chroni przed wylogowaniem przez cudzy link.

Komunikatory

Tokeny Meta, klucze operatora SMS i hasła skrzynek zapisujemy zaszyfrowane; nikt z zespołu ich nie zobaczy.
Telefon z Samlavik Most łączy się tylko z kontem, z którym go sparowano kodem QR. Wymiana telefonu unieważnia stare parowanie.
Więcej: RODO i polityka Meta w komunikatorach i (dla programistów) Bezpieczeństwo (dla programistów) (dokumentacja dla programistów, wymaga logowania).