01Токены Meta
- Доступ к Meta LiveAds получает только через Facebook Login for Business. Паролей, кук и браузерных сессий Facebook у нас нет и не бывает.
- Токен шифруется в приложении алгоритмом AES-256-GCM до записи в базу. Ключ живёт в окружении сервера, отдельно от базы и её копий.
- Токены не покидают сервер и не попадают в браузер. Каждый вызов Graph API подписан
appsecret_proof; секрет приложения тоже остаётся на сервере. - При отключении LiveAds отзывает права в Meta и стирает токен.
02При передаче
Трафик к liveads.app и к API Meta идёт только по HTTPS (TLS 1.2 и выше). Кука сессии - HttpOnly, Secure, SameSite=Lax. Шрифты и файлы сайта отдаёт наш сервер, сторонние CDN не используются.
03Изоляция пространств
Любая запись принадлежит рабочему пространству, и любой запрос ограничен пространством вошедшего человека. Данные разных рекламодателей не смешиваются. Внутри пространства права проверяет сервер в каждом разделе: участник видит только выданные ему профили, кабинеты и страницы.
04Журналы
- Каждый вызов API Meta записывается со временем, адресом, результатом и заголовками лимитов - без токена.
- Каждое действие от вашего имени - запуски, статусы и бюджеты, прогоны правил, модерация, подключения и удаления - попадает в журнал аудита пространства.
05Наш собственный доступ
К рабочим системам допущены только люди, которые обслуживают LiveAds, и только когда это нужно для работы; доступ записывается. В данные пространства мы смотрим лишь по вашему запросу в поддержку или при расследовании инцидента.
06Резервные копии
Копии зашифрованы и ротируются: старше 30 дней уничтожаются. Удаление данных доходит и до копий - по мере их истечения, в те же 30 дней. См. Удаление данных.
07Инциденты
При инциденте, затрагивающем ваши данные, мы сразу его локализуем и устраняем, без неоправданной задержки сообщаем владельцам затронутых пространств, а если затронуты данные платформы Meta - как можно скорее сообщаем Meta через её канал для инцидентов. Надзорные органы уведомляем там, где этого требует закон.
08Сообщить об уязвимости
Нашли уязвимость - напишите на [email protected] с шагами воспроизведения. Подтверждаем получение в течение 3 рабочих дней и держим в курсе до исправления. Не трогайте чужие данные, не нагружайте сервис и не публикуйте детали до исправления. Добросовестное исследование по этим правилам мы не преследуем.
Машиночитаемый контакт: /.well-known/security.txt.