Opis bezpieczeństwa

Co robimy

• Hasła kont: Argon2id. Weryfikacja dwuetapowa TOTP, obowiązkowa dla administratorów.
• Hasła skrzynek: szyfrowanie uwierzytelnione libsodium z kluczami poza bazą danych.
• TLS z weryfikacją certyfikatu przy każdym połączeniu IMAP i SMTP.
• Tokeny integracji ograniczone do jednego zasobu, cofane natychmiast.
• Każda wysyłka wymaga zatwierdzenia konkretnej treści w panelu.

Czego nie gwarantujemy

• To nie jest szyfrowanie end-to-end. Backend musi odczytać hasło skrzynki podczas łączenia, a operator serwera ma techniczną możliwość dostępu do kluczy.
• Prompt injection: backend egzekwuje uprawnienia, ale nie kontroluje, co asystent zrobi z treścią, którą już otrzymał.
• Rejestr operacji chroni przed zwykłą edycją z poziomu aplikacji, nie przed administratorem hostingu.
• Załączniki nie są skanowane antywirusowo, chyba że panel pokazuje inaczej.

Zgłaszanie problemów

kalistopl@gmail.com