सुरक्षा

प्रमाणीकरण

खाती ईमेल व पासवर्ड, Google OAuth, किंवा GitHub OAuth सह Supabase Auth द्वारे व्यवस्थापित केली जातात. लॉगिननंतर, तुमचा ब्राउझर एक सेशन टोकन (एक JWT) धरतो जो प्लॅटफॉर्म मिडलवेअरद्वारे आपोआप रिफ्रेश होतो, त्यामुळे काम चालू असलेले सेशन मध्येच शांतपणे कालबाह्य होत नाही.

API ते सेशन टोकन दोन रूपांत स्वीकारते: डॅशबोर्ड आधीच पाठवत असलेली सेशन कुकी म्हणून, किंवा Authorization Bearer हेडर म्हणून. ब्राउझर लॉगिनशिवाय प्रोग्रामॅटिक अ‍ॅक्सेससाठी त्याऐवजी API कीज वापरल्या जातात, ज्या खाली वर्णन केल्या आहेत. एंडपॉइंट्स वैध क्रेडेन्शियलशिवाय विनंत्या नाकारतात; फक्त स्पष्टपणे पब्लिक रूट्स, जसे की हेल्थ चेक व कॉन्टॅक्ट फॉर्म, प्रमाणीकरणाशिवाय काम करतात.

भूमिका आणि परवानग्या

प्रत्येक खात्याला नेमकी एक भूमिका असते: CLIENT, OPERATOR, किंवा ADMIN. क्लायंट रोबोटची मालकी बाळगतात व सेशनसाठी पैसे देतात, ऑपरेटर रोबोट नियंत्रित करतात व सेशनमधून कमावतात, आणि अ‍ॅडमिन प्लॅटफॉर्म चालवतात. तुम्ही ऑनबोर्डिंगदरम्यान क्लायंट व ऑपरेटरमध्ये निवड करता; अ‍ॅडमिन भूमिका प्लॅटफॉर्म प्रशासकांकडून नियुक्त केली जाते आणि स्वतः निवडता येत नाही.

भूमिका तपासणी UI मध्ये नाही, तर प्रत्येक विनंतीवर सर्व्हर-साइड होते. API च्या खाली, डेटाबेस अ‍ॅक्सेस row-level security धोरणांनी आणखी मर्यादित केला जातो, त्यामुळे एखाद्या एंडपॉइंटमधील बगदेखील इतर खात्यांच्या रोजना मुक्त अ‍ॅक्सेस बनत नाही.

API कीज

API कीज स्क्रिप्ट्स व सर्व्हरना ब्राउझर लॉगिनशिवाय अ‍ॅक्सेस देतात. तुम्ही त्या /dashboard/settings मध्ये तयार व रद्द करता; कीजना ayr_live_ प्रीफिक्स असतो आणि त्या Authorization Bearer हेडर म्हणून पाठवल्या जातात. एक की ती तयार करणाऱ्या खात्याच्या भूमिका व परवानग्यांनुसार काम करते, त्यामुळे लीक झालेली की तितकीच वाईट असते जितका लीक झालेला पासवर्ड.

• कीज सर्व्हर-साइड ठेवा. त्या क्लायंट-साइड JavaScript, मोबाइल अ‍ॅप्स, किंवा पब्लिक रिपॉझिटरीजमध्ये नसाव्यात.
• प्रत्येक इंटिग्रेशनसाठी एक की वापरा. काहीतरी लीक झाल्यास, तुम्हाला एकच कन्झ्युमर रद्द करायचा असतो, सगळे नाही.
• डाउनटाइमशिवाय रोटेट करा: आधी बदली की तयार करा, ती डिप्लॉय करा, मग /dashboard/settings मध्ये जुनी की रद्द करा.
• कोणत्याही संशयावर तात्काळ रद्द करा. नवी की तयार करायला काही सेकंद लागतात; वैध की असलेला हल्लेखोर तुमचे खाते जे करू शकते ते सर्व करू शकतो.

लाइव्ह नियंत्रणादरम्यानचे सुरक्षा उपाय

लाइव्ह नियंत्रण एका सेशन लीजशी बांधलेले असते. रोबोट नेमक्या एका ACTIVE सेशनमध्ये असतानाच, आणि फक्त ते सेशन धरणाऱ्या ऑपरेटरकडूनच कमांड्स स्वीकारतो; बाकी सर्वांसाठी रोबोट स्वतः IN_SESSION म्हणून चिन्हांकित असतो. एक ऑपरेटर एकावेळी जास्तीत जास्त एकच ACTIVE किंवा PAUSED सेशन धरू शकतो, ज्यामुळे एक व्यक्ती नाममात्र दोन आर्म एकाचवेळी नियंत्रित करू शकत नाही हे निश्चित होते.

कॉकपिटमध्ये एक इमर्जन्सी स्टॉप आहे जो आर्मला तात्काळ थांबवतो, आणि सेशन पॉज करणे किंवा संपवणे संपूर्ण कमांड प्रवाह थांबवते. त्याशिवाय, प्लॅटफॉर्म ऑपरेटर अ‍ॅक्टिव्हिटीवर लक्ष ठेवते: काही काळ इनपुट न आल्यास इनअ‍ॅक्टिव्हिटी वॉर्निंग पाठवली जाते, आणि ऑपरेटर निष्क्रियच राहिल्यास सेशन आपोआप थांबवले जाते. हे दोन्ही बाजूंचे रक्षण करते, क्लायंटला निष्क्रिय वेळेसाठी पैसे देण्यापासून आणि रोबोटला लाइव्ह लीजसह अनियंत्रित स्थितीत राहण्यापासून.

ऑडिट ट्रेल

प्रत्येक सेशन एक इव्हेंट लॉग ठेवते: सुरुवात व शेवट, पॉज व रिझ्यूम, अ‍ॅक्टिव्हिटी चेक्स, इनअ‍ॅक्टिव्हिटी वॉर्निंग्ज, ऑपरेटर स्विचेस, एक्स्टेंशन विनंत्या, आणि एरर्स, प्रत्येकाला टाइमस्टॅम्पसह. वादाचा आढावा घेतला जातो तेव्हा, हा इव्हेंट लॉग मुख्य पुरावा असतो, आणि हेच एक कारण आहे की प्लॅटफॉर्म कोणाच्याही आठवणीवर विसंबून न राहता तो आपोआप लिहितो.

सेशन्सच्या पलीकडे, महत्त्वाच्या प्लॅटफॉर्म क्रिया एका ऑडिट लॉगमध्ये कृती करणाऱ्या वापरकर्त्याच्या आयडी, क्रिया, प्रभावित रिसोर्स, आणि मेटाडेटासह नोंदवल्या जातात. प्रोफाइल बदल, पेमेंट-संबंधित व्यवहार, आणि अ‍ॅडमिन क्रिया या सर्व नोंदी सोडतात. ऑडिट रेकॉर्ड्स प्लॅटफॉर्मद्वारे लिहिले जातात आणि कोणत्याही वापरकर्ता-सुलभ इंटरफेसद्वारे संपादित करता येत नाहीत.

एन्क्रिप्शन आणि डेटा संरक्षण

प्लॅटफॉर्मकडे व तेथून येणारा-जाणारा सर्व ट्रॅफिक ट्रान्झिटमध्ये TLS ने एन्क्रिप्ट केलेला आहे, यात व्हिडिओ स्ट्रीम्स व कंट्रोल सिग्नल्सचाही समावेश आहे. डेटा लेयरवर, row-level security धोरणे प्रत्येक खात्यानुसार डेटाबेस अ‍ॅक्सेस मर्यादित करतात. पेमेंट डेटा ही सर्वात स्पष्ट सीमा आहे: कार्ड व बँक तपशील पूर्णपणे Stripe द्वारेच हाताळले जातात आणि कधीही AY-Robots सर्व्हरना स्पर्श करत नाहीत.

भेद्यता नोंदवणे

तुम्हाला एखादी सुरक्षा समस्या आढळल्यास, /security पान किंवा Bug Report श्रेणी वापरून /contact फॉर्मद्वारे ती जबाबदारीने नोंदवा. तुम्हाला काय, कुठे सापडले, आणि ते कसे पुन्हा तयार करावे हे समाविष्ट करा; समस्या दाखवण्यासाठी आवश्यक किमानपेक्षा जास्त इतर वापरकर्त्यांचा डेटा अ‍ॅक्सेस करू नका, आणि आम्हाला ती दुरुस्त करण्याची योग्य संधी मिळण्याआधी तपशील प्रकाशित करू नका. आम्ही प्रत्येक अहवाल वाचतो.

वारंवार विचारले जाणारे प्रश्न