Bezpieczeństwo

Strona internetowa

• Połączenie jest zawsze szyfrowane (HTTPS z protokołami TLS 1.2 i 1.3; starsze wersje serwer odrzuca). Przeglądarka zapamiętuje, że stronę wolno otwierać wyłącznie w bezpieczny sposób (HSTS).
• Aktualne wersje popularnych przeglądarek uzgadniają ze stroną hybrydowy mechanizm wymiany kluczy X25519MLKEM768, który łączy klasyczny algorytm X25519 z postkwantowym ML-KEM (standard NIST FIPS 203). Chroni to przed tym, by ktoś przechwycił połączenie dziś i odszyfrował je później za pomocą komputera kwantowego.
• Strona wczytuje wyłącznie własne pliki. Nie korzysta ze skryptów, czcionek ani usług stron trzecich, a reguły treści (Content Security Policy) zabraniają przeglądarce uruchomienia czegokolwiek innego.
• Strona jest statyczna: nie działa na niej PHP ani inny kod po stronie serwera. Serwer przyjmuje tylko żądania odczytu stron, a przesłane dane i żądania skryptów odrzuca.
• Strony nie można osadzić w innej witrynie, a inne witryny nie mogą osadzić także jej zdjęć ani filmów. Strona nie ma dostępu do kamery, mikrofonu ani lokalizacji.
• Strona nie używa plików cookie ani narzędzi analitycznych i śledzących. Gdy przejdą Państwo przez link do innej witryny, przeglądarka nie zdradzi jej, że przychodzą Państwo od nas.
• Formularz kontaktowy niczego nie wysyła przez stronę: wiadomość przygotowuje w Państwa programie pocztowym, więc na serwerze nic się nie zapisuje. Adres e-mail jest w kodzie stron chroniony przed automatycznym zbieraniem.
• Pliki strony, certyfikaty i rekordy DNS są codziennie sprawdzane automatycznie. Zmiana, której nie wprowadziliśmy, wywołuje alert.

Domeny i poczta e-mail

• Domeny alfagroup.eu i alfagroup.sk są zabezpieczone podpisem DNSSEC, a certyfikat może dla nich wystawić wyłącznie wskazany urząd certyfikacji (CAA).
• Poczta wychodząca jest podpisana elektronicznie (DKIM) i weryfikowalna według reguł SPF i DMARC. Wiadomość, która jedynie podszywa się pod nas, serwer odbiorcy odrzuci albo przeniesie do spamu.
• Grupa pisze wyłącznie z adresów @alfagroup.eu. Wiadomość z adresu @alfagroup.sk nie pochodzi od nas.
• Serwery wysyłające pocztę, które obsługują MTA-STS (na przykład Gmail), dostarczają ją na adresy @alfagroup.eu wyłącznie przez szyfrowane połączenie i tylko do serwera pocztowego z ważnym certyfikatem.
• Wiadomości do info [małpa] alfagroup.eu i security [małpa] alfagroup.eu można szyfrować naszym kluczem publicznym PGP (odcisk 02D8 A225 F600 22B1 9C74 9AA6 28FE C300 3681 4039, ważny do 10 października 2028 roku). Klucz znajduje się na tej stronie oraz na serwerze keys.openpgp.org. Programy pocztowe obsługujące Web Key Directory (na przykład GnuPG, Thunderbird lub Proton Mail) znajdą go też same w domenie alfagroup.eu.

• Klucz publiczny PGP – plik na tej stronie
• keys.openpgp.org – ten sam klucz na serwerze publicznym

Proszę sprawdzić samodzielnie

Niezależne testy można uruchomić w każdej chwili; pokazują aktualny stan:

• Mozilla HTTP Observatory – ustawienia bezpieczeństwa strony
• Security Headers – nagłówki bezpieczeństwa
• SSL Labs – połączenie szyfrowane, w tym postkwantowa wymiana kluczy
• Internet.nl – nowoczesne standardy internetowe

Zgłaszanie luk w zabezpieczeniach

Jeśli znajdą Państwo lukę w zabezpieczeniach strony, domen lub poczty, prosimy o wiadomość na security [małpa] alfagroup.eu. Kontakt podaje również standardowy plik security.txt. Zgłoszenie można zaszyfrować naszym kluczem PGP. Plik security.txt jest nim podpisany.

Przy weryfikowaniu i zgłaszaniu luk obowiązują następujące zasady:

• Obejmują adresy www.alfagroup.eu, alfagroup.eu, alfagroup.sk i mta-sts.alfagroup.eu oraz pocztę domen alfagroup.eu i alfagroup.sk.
• Nie obejmują usług naszego dostawcy hostingu, WebSupport s.r.o., na przykład poczty przez przeglądarkę. Luki w nich prosimy zgłaszać bezpośrednio dostawcy na adres security [małpa] websupport.sk.
• Prosimy nie przeciążać serwera, nie stosować socjotechniki, nie uzyskiwać dostępu do cudzych danych i niczego na serwerze nie zmieniać. Do potwierdzenia luki wystarczy jak najmniejsza ingerencja.
• Każde zgłoszenie rozpatrzymy. Jego otrzymanie potwierdzimy w ciągu trzech dni roboczych i będziemy Państwa informować o dalszym postępowaniu.
• Prosimy nie ujawniać luki, dopóki jej nie usuniemy lub nie uzgodnimy z Państwem inaczej.
• Wobec osób działających w dobrej wierze i zgodnie z tymi zasadami nie podejmiemy kroków prawnych.
• Za zgłoszenia nie wypłacamy nagród.

• security.txt

Informacje wrażliwe

Informacji niejawnych prosimy nie przesyłać e-mailem ani przez formularz, nawet zaszyfrowanych. Inne informacje wrażliwe prosimy przesyłać zaszyfrowane naszym kluczem publicznym PGP lub skontaktować się z nami – uzgodnimy inny sposób komunikacji.