Безопасность Postline

Реализованные меры

• TLS для поддерживаемых внешних HTTP- и SMTP-путей отправки
• Хешированные, scoped, истекающие API-ключи с опциональными IP allowlist
• Раздельные префиксы test- и live-ключей
• Хешированные SMTP-учётные данные, изолированные от доступа к dashboard
• DKIM-подпись и DNS-проверки alignment SPF и DMARC
• Глобальные project-level проверки suppression перед постановкой в очередь
• HMAC-подписи вебхуков, timestamp, уникальные event_id, ограниченные повторы и SSRF-устойчивая доставка
• Разделение очередей транзакционной и маркетинговой почты
• Вход в dashboard без пароля с хешированными одноразовыми кодами и хешированными токенами сессии

Границы шифрования

TLS — это шифрование при передаче, а не end-to-end шифрование почты. Провайдер получателя может обрабатывать доставленное содержимое. Клиентам, которым нужна конфиденциальность на уровне сообщения, следует добавить соответствующую схему — S/MIME, PGP или шифрование на уровне приложения.

Статус подтверждения соответствия

Отчёт SOC 2 Type II сейчас не заявляется. Меры безопасности остаются предметом тестирования изоляции тенантов, операционного review и due diligence по запросу клиента.

Сообщить об уязвимости

Отправьте минимальное воспроизведение и оценку влияния на support@srs-postline.com. Не получайте доступ к данным других клиентов, не нарушайте работу сервиса и не публикуйте неисправленную уязвимость без согласования.

Текущие ограничения сервиса

TLS защищает поддерживаемые сетевые соединения и не является сквозным шифрованием почты. Пароли ящиков и секреты TOTP шифруются приложением. Тела писем хранятся для обработки и истории; это не утверждение, что все записи и резервные копии зашифрованы.