इस महीने का उपयोगआपके अपने प्रदाता खाते से बिल किया गया
9:41
आराम अवस्था में एन्क्रिप्ट किए गए टोकन केवल आधिकारिक API
AeroReply के साथ अपने डेटा का अनुसरण करें
ऐसी कोई चीज़ चुनें जिस पर आप हमें भरोसा करते हैं, और देखें कि वह बिल्कुल कहाँ जाती है और कैसे सुरक्षित रहती है.
1आपका ब्राउज़र
2HTTPS · TLS
3AeroReply API
4AES-256-GCM
एन्क्रिप्टेड रूप में संग्रहीत
ट्रांज़िट और स्टोरेज में एन्क्रिप्शन
AeroReply के लिए हर अनुरोध HTTPS के जरिए परोसा जाता है, और हमारे एज प्रॉक्सी पर TLS प्रमाणपत्र अपने-आप जारी और नवीनीकृत होते हैं। आपके लिए हमारे पास रखे जाने वाले संवेदनशील मान AES-256-GCM से at rest एन्क्रिप्ट किए जाते हैं, हर मान के लिए एक नया initialization vector और हर रिकॉर्ड पर एक authentication tag के साथ। इसमें आपके जुड़े हुए सोशल खातों के OAuth access और refresh tokens, प्लेटफ़ॉर्म client secrets, संग्रहीत provider credentials, और webhook destinations शामिल हैं। Encryption keys application को environment के माध्यम से दी जाती हैं और जिन डेटा की वे रक्षा करती हैं, उनके साथ डेटाबेस में कभी नहीं लिखी जातीं.
प्रमाणीकरण और अभिगम नियंत्रण
पासवर्ड bcrypt से 12 लागत फ़ैक्टर के साथ हैश किए जाते हैं और कभी भी प्लेन टेक्स्ट में स्टोर, लॉग या पुनर्प्राप्त नहीं किए जाते। साइन-इन की गई सत्र में एक अल्पकालिक एक्सेस टोकन (डिफ़ॉल्ट रूप से 15 मिनट) होता है, जिसके साथ एक दीर्घकालिक रिफ्रेश टोकन जुड़ा होता है जो हमारे डेटाबेस में केवल SHA-256 हैश के रूप में मौजूद रहता है; हर रिफ्रेश पर वह टोकन रोटेट होता है, और पहले से रोटेट किए गए टोकन को दोबारा इस्तेमाल करना चोरी माना जाता है और उस खाते के सभी सक्रिय सत्र रद्द हो जाते हैं। साइन-इन एंडपॉइंट, पासवर्ड रीसेट और सार्वजनिक एंडपॉइंट IP के आधार पर रेट-लिमिटेड हैं। किसी workspace के भीतर, एक्सेस भूमिकाओं द्वारा नियंत्रित होता है जो विस्तृत permission catalogue से जुड़ती हैं, और हर workspace-स्कोप्ड एंडपॉइंट कुछ भी पढ़ने या लिखने से पहले आपकी membership और विशिष्ट permission की पुष्टि करता है। सार्वजनिक API keys क्रिप्टोग्राफ़िक रूप से यादृच्छिक bytes से बनाई जाती हैं, आपको ठीक एक बार दिखाई जाती हैं, और केवल SHA-256 hash के रूप में एक truncated display prefix के साथ स्टोर की जाती हैं — हम खोई हुई key को सच में पुनर्प्राप्त नहीं कर सकते, केवल rotate या revoke कर सकते हैं — और हर key में read या write का स्पष्ट scope होता है, जो हर route पर लागू होता है.
इन्फ्रास्ट्रक्चर और होस्टिंग
AeroReply एक कंटेनराइज़्ड स्टैक के रूप में चलता है — वेब ऐप्लिकेशन, API, बैकग्राउंड वर्कर्स, PostgreSQL और Redis — एक ही रिवर्स प्रॉक्सी के पीछे, जो TLS समाप्त करता है। डेटास्टोर्स सार्वजनिक इंटरनेट पर कोई पोर्ट नहीं खोलते; इनबाउंड ट्रैफ़िक स्वीकार करने वाला एकमात्र घटक प्रॉक्सी है। अपलोड की गई मीडिया object storage में रहती है और व्यापक रूप से writable bucket के बजाय short-lived presigned uploads के माध्यम से लिखी जाती है। API edge पर हम मानक HTTP hardening लागू करते हैं: security headers, wildcard के बजाय CORS origins की स्पष्ट allowlist, और request body size limits। आप जो भी URL देते हैं और जिसे हम बाद में call करते हैं — webhook destination, imported feed — उसे पहले private, loopback, और reserved address ranges के खिलाफ validate किया जाता है, ताकि प्लेटफ़ॉर्म का उपयोग internal networks तक पहुँचने के लिए न किया जा सके।
बैकअप और आपदा पुनर्प्राप्ति
प्रोडक्शन डेटाबेस का हर रात स्वचालित रूप से डंप लिया जाता है, और आर्काइव को एप्लिकेशन होस्ट से अलग रखे ऑब्जेक्ट स्टोरेज में भेज दिया जाता है। Redis append-only persistence के साथ चलता है, इसलिए queued और in-flight jobs — scheduled posts, renders, deliveries — restart के बाद भी बने रहते हैं, बजाय इसके कि वे चुपचाप हट जाएँ। प्रोडक्ट में destructive actions डिज़ाइन के अनुसार soft deletes हैं: deleted records को mark किया जाता है और हर read path से फ़िल्टर किया जाता है, उन्हें तुरंत erase नहीं किया जाता, जिससे accidental deletion recover किया जा सकता है। हम कोई contractual recovery time या recovery point objective प्रकाशित नहीं करते, और हम ऐसा कहेंगे, बजाय इसके कि ऐसा नंबर बताएँ जिसे हमने test नहीं किया है। अगर आपकी organization को लिखित में specific recovery commitments चाहिए, तो खरीदने से पहले हमसे संपर्क करें.
उप-प्रसंस्करणकर्ता
हम सेवा चलाने के लिए कुछ ही तृतीय पक्षों का उपयोग करते हैं, और हम आपका डेटा किसी को भी नहीं बेचते, किराए पर नहीं देते, और न ही उसका आदान-प्रदान करते हैं। भुगतान और सब्सक्रिप्शन बिलिंग Stripe द्वारा संभाली जाती है, जो कार्ड विवरण सीधे प्रोसेस करता है — कार्ड नंबर कभी हमारे सर्वर तक नहीं पहुँचते। अपलोड किया गया मीडिया Amazon S3 में संग्रहीत होता है। ट्रांज़ैक्शनल ईमेल हमारे ईमेल प्रदाता के माध्यम से भेजे जाते हैं। AI सुविधाएँ आपके workspace के लिए कॉन्फ़िगर किए गए model provider को कॉल करती हैं, और आपका कंटेंट केवल उसी समय उस provider को भेजा जाता है जब आप कोई AI सुविधा उपयोग करते हैं। publishing, messaging, और analytics सुविधाएँ उन social platforms के साथ डेटा का आदान-प्रदान करती हैं जिन्हें आप connect करना चुनते हैं, और वह उन platforms की अपनी शर्तों के तहत होता है। यदि आपको sub-processors की वर्तमान सूची ऐसे फ़ॉर्मेट में चाहिए जिसे आप vendor review के साथ संलग्न कर सकें, तो हमें ईमेल करें और हम उसे भेज देंगे।
जिम्मेदार प्रकटीकरण
यदि आपको लगता है कि आपको कोई सुरक्षा कमजोरी मिली है, तो कृपया उसे कहीं और सार्वजनिक करने से पहले security@aeroreply.com पर रिपोर्ट करें। समस्या को दोहराने के लिए पर्याप्त विवरण शामिल करें — एक proof of concept, प्रभावित endpoint, और उसका प्रभाव। हम सद्भावना से भेजी गई हर रिपोर्ट की पुष्टि करेंगे, उस पर काम करते समय आपको अपडेट देते रहेंगे, और यदि आप चाहें तो आपको श्रेय भी देंगे। बदले में, हम आपसे अनुरोध करते हैं कि production पर automated scanners न चलाएँ, अन्य ग्राहकों के लिए सेवा को बाधित न करें, और अपने अलावा किसी और के डेटा तक न पहुँचें, न उसे संशोधित करें, न ही अपने पास रखें। इन सीमाओं के भीतर सद्भावना से काम करने वाले शोधकर्ताओं के खिलाफ हम कानूनी कार्रवाई नहीं करेंगे।
निर्माताओं से सीधे जवाब
अनुपालन स्थिति
बैज की बजाय विशिष्ट उत्तर
हम वर्तमान में SOC 2, ISO 27001 या किसी समान मानक के तहत प्रमाणित नहीं हैं, और हम इसके विपरीत कोई संकेत नहीं देंगे। ऊपर बताई गई प्रक्रियाएँ बताती हैं कि सिस्टम आज किस तरह बनाया गया है, और हम इन्हें आपके साथ समझाने के लिए तैयार हैं। आप अपना workspace किसी भी समय हटा सकते हैं, और किसी social account को disconnect करने पर उसके लिए संग्रहीत tokens मिटा दिए जाते हैं.
अनुरोध पर सुरक्षा प्रश्नावली पूर्ण की गई
डेटा प्रसंस्करण समझौते उपलब्ध
प्लेटफ़ॉर्म डेटा-हटाने के कॉलबैक का सम्मान किया जाता है
