Funkcja platformy
Bezpieczeństwo platformy: szyfrowanie, CSP i dziennik audytu
Przez tę platformę przechodzą Twoje konta reklamowe, dane sklepu i rozliczenia - dlatego bezpieczeństwo jest wbudowane na każdej warstwie i jawnie opisane pod adresem /trust.
Platforma marketingowa skupia niezwykłą koncentrację władzy: dostęp do Twoich kont reklamowych, zamówień i przychodów sklepu, rozmów z klientami i przepływów płatności. Czyni to jej podejście do bezpieczeństwa pytaniem zakupowym pierwszej rangi, a nie przypisem. BScale AI jest zbudowany w modelu obrony w głąb, a pełny obraz jest jawnie opublikowany na stronie zaufania.
W skrócie: platformy uwierzytelniasz przez OAuth, więc BScale AI nigdy nie przechowuje Twoich haseł, każdy zapisany token jest szyfrowany algorytmem AES-256-GCM, sesje opierają się na ciasteczkach z ochroną CSRF, każda strona jest serwowana z Content Security Policy dla każdego żądania, API mają ograniczenia liczby żądań, a aktywność na koncie jest rejestrowana w dzienniku audytu tylko do dopisywania, którego nikt - łącznie z administratorami - nie może po cichu edytować.
Zaszyfrowane dane uwierzytelniające i ochrona tokenów OAuth
BScale AI nigdy nie prosi o hasło do Twoich kont w Meta, Google, TikTok ani LinkedIn. Połączenia korzystają z oficjalnego przepływu OAuth każdej platformy: logujesz się na stronach samej platformy, przyznajesz uprawnienia o ograniczonym zakresie i możesz je w każdej chwili odwołać z obu stron.
Tokeny dostępu wydawane przez te platformy to klejnoty koronne każdego narzędzia marketingowego, więc są szyfrowane algorytmem AES-256-GCM przed zapisaniem. Nawet w razie nieautoryzowanego dostępu do bazy danych tokeny nie leżą jawnym tekstem w oczekiwaniu na zebranie.
Bezpieczeństwo sesji: ciasteczka, CSRF i CSP dla każdego żądania
Sesje użytkowników opierają się na ciasteczkach i są chronione przed fałszowaniem żądań między witrynami, więc złośliwa strona, którą przypadkiem odwiedzisz, nie może po cichu wysyłać żądań do BScale AI w Twoim imieniu. To klasyczny atak na narzędzia marketingowe, w którym sfałszowane żądanie mogłoby uruchomić wydatki lub zmienić kampanie, a jest blokowany na granicy platformy.
Każda strona jest też serwowana z Content Security Policy dla każdego żądania. Zamiast jednej statycznej polityki każda odpowiedź niesie własną politykę CSP opartą na nonce, co ostro ogranicza to, co mogłyby zrobić wstrzyknięte skrypty, nawet gdyby złośliwa treść kiedykolwiek trafiła na stronę. To jedna z mocniejszych ochron po stronie przeglądarki, jakie może wdrożyć aplikacja internetowa.
Ograniczanie liczby żądań i dziennik audytu tylko do dopisywania
Wszystkie API mają ograniczoną liczbę żądań, z ostrzejszymi limitami dla operacji wrażliwych. Ograniczanie liczby żądań tępi próby siłowe, nadużycia punktów końcowych AI i niekontrolowaną automatyzację, utrzymując stabilność platformy dla wszystkich.
Aktywność na koncie jest zapisywana w dzienniku audytu tylko do dopisywania: wpisy można dodawać, ale aplikacja nie ma ścieżki, by je aktualizować lub usuwać. Gdy musisz wiedzieć, kto, co i kiedy zrobił - przy przeglądzie zgodności, dochodzeniu w sprawie incydentu albo zwykłym pytaniu o odpowiedzialność w zespole - dziennik jest zapisem, którego nie dało się po cichu przepisać.
Bezpieczeństwo, które obejmuje role, rozliczenia i akceptacje
Bezpieczeństwo to nie tylko kryptografia; to także to, kto może co robić. Udostępnianie obszaru roboczego korzysta z kontroli dostępu opartej na rolach, egzekwowanej na serwerze przy każdym żądaniu, więc obserwator nigdy nie może działać z uprawnieniami menedżera. Rozliczenia przechodzą przez PayPal ze szczegółową księgą, więc ruchy pieniędzy da się sprawdzić. A nic nie jest publikowane na Twoich kontach reklamowych bez Twojej wyraźnej zgody, co utrzymuje człowieka w kontroli nad najważniejszymi działaniami.
Kompletne, aktualne podejście do bezpieczeństwa - w tym praktyki, które przyjmujemy w miarę rozwoju platformy - jest opisane na publicznej stronie zaufania. Jeśli Twoja organizacja ma kwestionariusz bezpieczeństwa, to właśnie tam warto zacząć.
Częste pytania
- Jak BScale AI przechowuje dane uwierzytelniające moich kont reklamowych?
- W ogóle nie przechowuje Twoich haseł. Platformy są łączone przez ich oficjalne przepływy OAuth, a wydawane przez nie tokeny dostępu są szyfrowane algorytmem AES-256-GCM przed zapisaniem. Połączenie możesz w dowolnej chwili odwołać w BScale AI lub w ustawieniach bezpieczeństwa samej platformy.
- Czym jest dziennik audytu tylko do dopisywania i dlaczego ma znaczenie?
- To zapis aktywności, do którego aplikacja może dodawać wpisy, ale nigdy ich nie aktualizuje ani nie usuwa. Oznacza to, że historii tego, kto co zrobił na Twoim koncie, nie da się po cichu przepisać, co jest kluczowe przy dochodzeniach w sprawie incydentów, przeglądach zgodności i zwykłej odpowiedzialności w zespole.
- Jak BScale AI zapobiega fałszowaniu żądań między witrynami (CSRF)?
- Sesje opierają się na ciasteczkach, a każde żądanie zmieniające stan jest chronione kontrolami CSRF, więc złośliwa strona trzecia nie może nakłonić Twojej przeglądarki do wysyłania żądań do BScale AI w Twoim imieniu - takich jak zmiana kampanii czy wydawanie budżetu.
- Czym jest Content Security Policy dla każdego żądania?
- Zamiast jednej statycznej polityki bezpieczeństwa przeglądarki BScale AI generuje świeżą politykę Content Security Policy opartą na nonce dla każdej odpowiedzi strony. Ostro ogranicza to to, co mógłby wykonać dowolny wstrzyknięty skrypt, zapewniając silną ochronę przed atakami typu cross-site scripting.
- Czy AI w BScale AI może podejmować działania na moich kontach beze mnie?
- Nie. AI przygotowuje kampanie, kreacje i rekomendacje, ale nic nie rusza na żywo w Meta, Google Ads, TikTok ani LinkedIn bez Twojej wyraźnej akceptacji. W połączeniu z egzekwowaną na serwerze kontrolą dostępu opartą na rolach to ludzie pozostają w kontroli nad każdym istotnym działaniem.
- Gdzie przeczytać pełne szczegóły bezpieczeństwa BScale AI?
- Publiczna strona zaufania opisuje podejście platformy do bezpieczeństwa, w tym połączenia oparte na OAuth, szyfrowanie tokenów AES-256-GCM, ochronę CSRF, CSP dla każdego żądania, ograniczanie liczby żądań i dziennik audytu tylko do dopisywania. To właściwy punkt wyjścia dla każdego przeglądu bezpieczeństwa.
