Безопасность

Сайт

• Соединение всегда зашифровано (HTTPS с протоколами TLS 1.2 и 1.3, более старые версии сервер отклоняет). Браузер запоминает, что сайт можно открывать только по защищённому соединению (HSTS).
• Актуальные версии распространённых браузеров согласовывают с сайтом гибридный обмен ключами X25519MLKEM768, который сочетает классический алгоритм X25519 с постквантовым ML-KEM (стандарт NIST FIPS 203). Это защищает от перехвата соединения сегодня и его расшифровки позже с помощью квантового компьютера.
• Сайт загружает только собственные файлы. Он не использует скрипты, шрифты и сервисы третьих сторон, а правила содержимого (Content Security Policy) запрещают браузеру выполнять что-либо иное.
• Сайт статический: на нём не работает ни PHP, ни другой серверный код. Сервер принимает только запросы на чтение страниц, а отправку данных и запросы к скриптам отклоняет.
• Сайт нельзя встроить в чужую страницу, а чужие страницы не могут встраивать его фотографии и видео. У сайта нет доступа к камере, микрофону и геолокации.
• Сайт не использует файлы cookie, аналитические и отслеживающие инструменты. Когда вы переходите по ссылке на другой сайт, браузер не сообщает ему, что вы пришли от нас.
• Контактная форма ничего не отправляет через сайт: она готовит письмо в вашей почтовой программе, поэтому на сервере ничего не сохраняется. Адрес электронной почты в коде страниц защищён от автоматического сбора.
• Файлы сайта, сертификаты и записи DNS ежедневно проверяются автоматически. Изменение, которого мы не вносили, вызывает оповещение.

Домены и электронная почта

• Домены alfagroup.eu и alfagroup.sk защищены подписью DNSSEC, а сертификат для них может выдать только указанный удостоверяющий центр (CAA).
• Исходящая почта подписана электронной подписью (DKIM) и проверяется по правилам SPF и DMARC. Письмо, которое лишь выдаёт себя за наше, сервер получателя отклонит или поместит в спам.
• Группа пишет только с адресов @alfagroup.eu. Письмо с адреса @alfagroup.sk отправлено не нами.
• Серверы отправителей, поддерживающие MTA-STS (например, Gmail), доставляют почту на адреса @alfagroup.eu только по зашифрованному соединению и только на почтовый сервер с действительным сертификатом.
• Письма на info [at] alfagroup.eu и security [at] alfagroup.eu можно шифровать нашим открытым ключом PGP (отпечаток 02D8 A225 F600 22B1 9C74 9AA6 28FE C300 3681 4039, действителен до 10 октября 2028 года). Ключ размещён на этом сайте и на сервере keys.openpgp.org. Почтовые программы с поддержкой Web Key Directory (например, GnuPG, Thunderbird или Proton Mail) также сами найдут его в домене alfagroup.eu.

• Открытый ключ PGP — файл на этом сайте
• keys.openpgp.org — тот же ключ на общедоступном сервере

Проверьте сами

Независимые проверки можно запустить в любое время, они показывают текущее состояние:

• Mozilla HTTP Observatory — настройки безопасности сайта
• Security Headers — заголовки безопасности
• SSL Labs — зашифрованное соединение, включая постквантовый обмен ключами
• Internet.nl — современные интернет-стандарты

Сообщить об уязвимости

Если вы обнаружите уязвимость в защите сайта, доменов или почты, напишите на security [at] alfagroup.eu. Этот контакт указан и в стандартном файле security.txt. Сообщение можно зашифровать нашим ключом PGP. Файл security.txt подписан этим ключом.

При проверке уязвимостей и сообщении о них действуют следующие правила:

• Они распространяются на адреса www.alfagroup.eu, alfagroup.eu, alfagroup.sk и mta-sts.alfagroup.eu, а также на почту доменов alfagroup.eu и alfagroup.sk.
• Они не распространяются на услуги нашего хостинг-провайдера WebSupport s.r.o., например на веб-почту. Об уязвимостях в них сообщайте непосредственно ему по адресу security [at] websupport.sk.
• Не пытайтесь перегрузить сервер, не применяйте социальную инженерию, не получайте доступ к чужим данным и ничего не изменяйте на сервере. Для подтверждения уязвимости достаточно минимального вмешательства.
• Мы рассматриваем каждое сообщение. Его получение подтвердим в течение трёх рабочих дней и будем информировать вас о дальнейших шагах.
• Просим не раскрывать уязвимость, пока мы её не устраним или не договоримся с вами об ином.
• Против тех, кто действует добросовестно и в рамках этих правил, мы не будем предпринимать юридических действий.
• Вознаграждения за сообщения мы не выплачиваем.

• security.txt

Конфиденциальная информация

Секретные сведения не отправляйте по электронной почте или через форму, даже в зашифрованном виде. Иную конфиденциальную информацию отправляйте, зашифровав нашим открытым ключом PGP, или свяжитесь с нами, и мы согласуем другой способ связи.