Bezpečnost theguests.app

Postgres Row-Level Security (RLS) je zapnutá na každé tabulce vázané na workspace. I s uniknutým anon klíčem nemůže žádný klient číst ani zapisovat data mimo svůj workspace.

• RLS politiky vynucené v databázi, ne jen v aplikační vrstvě.
• Role kontrolované přes security-definer funkce — žádné rekurzivní politiky.
• Owner workspace je jediná role oprávněná mazat nebo exportovat.

Veškerý provoz běží přes TLS 1.3 s HSTS preload. Data v klidu jsou šifrovaná AES-256 přes spravovanou Postgres službu.

• TLS 1.3, HSTS preload, X-Frame-Options DENY.
• AES-256 v klidu přes Lovable Cloud (Supabase).
• Denní automatické zálohy, 7denní point-in-time recovery.

TOTP dvoufaktorové ověření je dostupné pro každou roli a důrazně doporučené pro ownery workspace. Konfigurace v Nastavení.

• Standardní TOTP (Google Authenticator, 1Password, Authy, …).
• Owneři vidí upozornění, dokud 2FA nezapnou.
• SMS faktor záměrně není dostupný u dveřního skeneru.

Každá privilegovaná akce — pozvánky, změny rolí, mazání, exporty, scany — se zapisuje do append-only tabulky audit_log s workspace + aktérem + payloadem, retence 365 dnů.

• Viditelné managerům + ownerům pod /audit.
• Včetně IP + user-agent u citlivých akcí.
• Right-to-delete nechá finální delete řádek pro neodvolatelnost.

Aplikace běží na serverless edge runtime s rate limity per-IP a per-token na všech veřejných endpointech. Nic uživatelského nemluví přímo s databází.

• Veřejné endpointy (/g/$token, /api/public/*) bucket-rate-limited.
• Všechny zápisové cesty jdou přes SECURITY DEFINER RPC, které znovu kontrolují autorizaci.
• Žádné dlouhodobé service-role klíče v prohlížeči.

Jsme GDPR compliant by design: portabilita, výmaz a žádosti o přístup jsou self-serve z Nastavení. Zákazníci si mohou DPA podepsat jedním klikem.

• Sub-processoři: Lovable Cloud (Supabase, EU), Cloudflare, Resend.
• Standard Contractual Clauses pro jakýkoli přenos mimo EU.
• Závazek 72hodinové notifikace o úniku.