Глибокий огляд архітектури безпеки
Вичерпний технічний огляд того, як tracio.ai захищає ваші дані на кожному шарі — від шифрування сигналів на боці клієнта до зберігання у стані спокою.
Зміст
Розділ 1
Потік даних
Наскрізно шифроване транспортування сигналів від браузера до сховища. Whitepaper з архітектури безпеки tracio.ai із деталями шифрування та відповідності.
+------------------+ TLS 1.2+ +------------------+
| Browser Agent | ================> | Edge Gateway |
| | end-to-end payload | |
+------------------+ +--------+---------+
|
mTLS internal
|
+--------v---------+
| Signal Processor |
| (Rust pipeline) |
+--------+---------+
|
AES-256-GCM
|
+--------v---------+
| ClickHouse DB |
| (encrypted disk) |
+------------------+Технічні характеристики
ТранспортTLS 1.2+ з наборами шифрів AEAD
Шифрування payloadнаскрізне подвійне шифрування перед TLS
Внутрішня мережаmTLS між усіма сервісами
Ротація сертифікатівавтоматична кожні 72 години
Розділ 2
Шари шифрування
Багатошарове шифрування на кожному етапі життєвого циклу даних.
Layer 1: Client-Side Signal data --> encrypted transport --> Base64 Layer 2: Transport Base64 payload --> TLS 1.2+ (ECDHE + AES-256-GCM) Layer 3: At-Rest Decrypted signals --> AES-256-GCM --> Encrypted column store Layer 4: Key Management Master key (HSM) --> Data encryption keys (rotated weekly) DEK envelope encryption --> Per-tenant isolation
Технічні характеристики
Шифрування клієнтаAES-128-CBC із сесійним ключем
ТранспортTLS 1.2+ AES-256-GCM
У стані спокоюпоколонкове шифрування AES-256-GCM
Зберігання ключівмайстер-ключі на основі HSM
Ротація ключівщотижнева ротація DEK, щорічна ротація майстер-ключа
Розділ 3
Контроль доступу
Рольовий контроль доступу за принципом найменших привілеїв.
Role Hierarchy:
Owner
|-- Admin (manage team, billing, API keys)
|-- Analyst (read dashboards, export data)
|-- Developer (API access, webhook config)
|-- Viewer (read-only dashboard access)
API Key Scoping:
[key] --> scope: [identify, events, signals]
+--> rate limit: 1000 req/min
+--> IP allowlist: [10.0.0.0/8]
+--> expiry: 90 daysТехнічні характеристики
АвтентифікаціяAPI-ключі (хешовані bcrypt) + SSO/SAML
АвторизаціяRBAC із 4 вбудованими ролями
API-ключіобмежені дозволи, білі списки IP
Керування сесіямиJWT із 15-хвилинним терміном дії, refresh-токени
MFAпідтримка TOTP та WebAuthn
Розділ 4
Журнал аудиту
Незмінне журналювання аудиту з захистом від підробки для кожної дії.
Every API call and admin action is logged: 2026-03-16 14:22:01 | api.identify | key:tracio_sk_egRb14 | 200 2026-03-16 14:22:03 | api.events | key:tracio_sk_egRb14 | 200 2026-03-16 14:23:15 | admin.key.create | user:david@ | 201 2026-03-16 14:25:44 | admin.role.edit | user:sarah@ | 200 Log Properties: - Append-only (immutable) - SHA-256 hash chain (tamper detection) - 365-day retention (configurable) - Exportable via API or CSV
Технічні характеристики
Зберіганняжурнал лише для додавання з ланцюжком хешів
Зберігання даних365 днів за замовчуванням, налаштовується до 7 років
Цілісністьланцюжок хешів SHA-256, виявлення підробки
ЕкспортServer API та експорт у CSV
Розділ 5
Реагування на інциденти
Задокументовані сценарії з чіткими рівнями критичності та ескалацією.
Severity Tiers:
SEV-1 (Critical) | Data breach, service outage
Response: < 15 min | Notify: CEO, Legal, Customers
SEV-2 (High) | Partial outage, security vulnerability
Response: < 1 hr | Notify: Engineering Lead, Security
SEV-3 (Medium) | Performance degradation, minor bug
Response: < 4 hr | Notify: On-call engineer
SEV-4 (Low) | Cosmetic issue, documentation gap
Response: < 24 hr | Notify: Product teamТехнічні характеристики
Моніторингавтоматичні сповіщення 24/7 (Grafana + PagerDuty)
Реагування на SEV-1< 15 хвилин
Post-mortemпублікується протягом 48 годин для SEV-1/2
Комунікаціяоновлення на сторінці статусу протягом 5 хвилин
Bug Bountyдіє програма відповідального розкриття
Отримати повний whitepaper
Завантажте повний документ з архітектури безпеки, зокрема додатки з відповідності, діаграми потоків даних та зведення аудитів третіх сторін.