Co kód skutečně dělá

Zkontrolováno vůči kódu dne 16. 9. 2026

1. Každý dotaz do databáze prochází rozšířením Prisma, které jej přiřadí k organizaci daného požadavku. Dotaz bez kontextu organizace selže, místo aby vrátil řádky.

2. Klíče TOTP a tokeny poskytovatelů třetích stran jsou ukládány šifrované pomocí AES-256-GCM s klíčenkou, která umožňuje rotaci klíčů bez ztráty přístupu ke stávajícím datům.

3. Každá odpověď HTML obdrží Content-Security-Policy s náhodným jednorázovým kódem (nonce) pro každý požadavek. Vložený skript (inline script) bez tohoto kódu se nespustí.

4. Každé volání měnící stav, které nese relaci personálu, musí odeslat token CSRF odpovídající souboru cookie. Vynucování tohoto pravidla nelze v produkčním prostředí vypnout.

5. Odkaz na potvrzení o schválení je podepsán pomocí HMAC-SHA256. Podpis je ověřen před jakýmkoli čtením z databáze a každé selhání vrátí stejnou chybu 404.

   Odkaz pro sdílení je 32bajtový náhodný token, z něhož se ukládá pouze SHA-256, s platností, volitelným heslem a možností okamžitého zneplatnění. Zneplatněný, expirovaný nebo neznámý odkaz vrátí stejnou chybu 404.

6. Každý nahraný soubor je naskenován pomocí ClamAV na privátní VM uvnitř VPC předtím, než je z něj vytvořen náhled, a soubor bez čistého výsledku je zadržen a není poskytován.

   Soubory větší než 2 GiB jsou zadrženy a neskenují se. Zadržený soubor se neposkytuje.

7. Klient vstupuje do portálu bez účtu pomocí kódu, odkazu, telefonu nebo e-mailu; ukládá se pouze HMAC kódu nebo tokenu, platnost vstupu vyprší (ve výchozím nastavení po 30 dnech) a zneplatnění odpojí každé zařízení do dvou minut.

8. Protokol aktivit v aplikaci umožňuje pouze přidávání záznamů: žádná část kódu neaktualizuje ani nemaže řádky auditu a jakýkoli pokus o přidání takové možnosti způsobí selhání v CI.

9. Každá trasa API má omezenou frekvenci požadavků na uživatele nebo IP adresu klienta prostřednictvím sdíleného počítadla Redis napříč instancemi. Pokud je Redis nedostupný, limit se sníží na třetinu pro každou instanci, místo aby se přístup zcela otevřel.

10. Relace je podepsaný soubor cookie JWT (HS256) s příznaky HttpOnly, Secure a SameSite=Lax, vyprší po dvou hodinách nečinnosti a lze ji zneplatnit na všech zařízeních najednou. Hesla jsou ukládána jako hashe scrypt a obnovovací kódy pro MFA se ukládají pouze jako HMAC.

11. Klientský portál, odkazy pro sdílení, potvrzení, přijetí pozvánek a stránky pro dokončení registrace a obnovení hesla obsahují značku noindex a soubor robots.txt zakazuje přístup k /api/, /admin, /app a /coupons.

12. Vlastník pracovního prostoru může exportovat data a smazat pracovní prostor nebo svůj vlastní účet, aniž by nás o to musel žádat. Smazání okamžitě zablokuje přístup a k trvalému vymazání dojde automaticky po 30 dnech, což je lhůta uvedená v podmínkách, zásadách ochrany osobních údajů a DPA.

13. Citlivé údaje se připojují ze služby Secret Manager při nasazení, ověřují se při spuštění (minimální délka, odmítnutí zástupných hodnot, šifrovací klíč musí mít 32 náhodných bajtů) a jsou maskovány v protokolech a hlášeních o chybách.

14. Plánovaná volání jsou ověřována podpisem HMAC-SHA256 v rámci pětiminutového okna nebo tokenem Google OIDC. Statický tajný klíč v hlavičce Bearer je v produkčním prostředí odmítnut.

15. Každý odchozí požadavek na adresu zadanou uživatelem (importy z Google Drive, webhooks) je kontrolován vůči rozsahům soukromých adres, a to i po přesměrování a v okamžiku připojení.

16. Tělo požadavku API je omezeno na 1 MiB a kontrolováno vůči přísnému schématu, které odmítne neznámá pole dříve, než se k nim dostane kód.

17. Typ souboru se určuje přímo z bajtů, nikoli podle deklarace prohlížeče, a soubor překračující kvótu tarifu nebo limit na soubor je odmítnut ještě před nahráním.

18. Každá cesta k objektu je před podepsáním, čtením nebo smazáním zkontrolována vůči prefixu organizace a soubory jsou poskytovány prostřednictvím časově omezených podepsaných URL (6 hodin pro zobrazení, 5 minut pro stažení).

19. Návrhy AI se ukládají jako návrhy a uplatňují se až po schválení člověkem. Kód AI navíc nesmí otevřít systémový rozsah nad zákaznickými daty, což vynucuje CI gate.

20. Každé nasazení nejprve projde kompletní sadou testů s pokrytím, kontrolami kódu a auditem npm na úrovni high. Produkční nasazení navíc prochází fází canary s testy připravenosti.