Безопасность Postline

Реализованные меры

• TLS для поддерживаемых внешних HTTP- и SMTP-путей отправки
• Хешированные, scoped, истекающие API-ключи с опциональными IP allowlist
• Раздельные префиксы test- и live-ключей
• Хешированные SMTP-учётные данные, изолированные от доступа к dashboard
• DKIM-подпись и DNS-проверки alignment SPF и DMARC
• Глобальные project-level проверки suppression перед постановкой в очередь
• HMAC-подписи вебхуков, timestamp, уникальные event_id, ограниченные повторы и SSRF-устойчивая доставка
• Разделение очередей транзакционной и маркетинговой почты
• Вход в dashboard без пароля с хешированными одноразовыми кодами и хешированными токенами сессии

Границы шифрования

TLS — это шифрование при передаче, а не end-to-end шифрование почты. Провайдер получателя может обрабатывать доставленное содержимое. Клиентам, которым нужна конфиденциальность на уровне сообщения, следует добавить соответствующую схему — S/MIME, PGP или шифрование на уровне приложения.

Статус подтверждения соответствия

Отчёт SOC 2 Type II сейчас не заявляется. Меры безопасности остаются предметом тестирования изоляции тенантов, операционного review и due diligence по запросу клиента.

Сообщить об уязвимости

Отправьте минимальное воспроизведение и оценку влияния на security@srs-postline.com. Не получайте доступ к данным других клиентов, не нарушайте работу сервиса и не публикуйте неисправленную уязвимость без согласования.