La plupart de ce tableau dit « jamais ».
La conservation est la seule affirmation de confidentialité qui peut être vérifiée par rapport à la réalité, car l'enregistrement existe ou n'existe pas. Ce qui suit est la liste complète, y compris les entrées qui sont gênantes pour nous.
Le principe, en somme
Rien de tout cela n'est intelligent. Nous avons déterminé quels enregistrements le service ne peut réellement pas fonctionner sans, et nous avons arrêté de tout collecter d'autre.
Les données jamais écrites ne peuvent être ni produites, ni soumises à une assignation, ni divulguées, ni vendues.
Chaque journal doit répondre à une question : qu'est-ce qui casse s'il n'existe pas ? Les journaux d'accès au panneau survivent à cette question, car la prise de contrôle de compte est un événement réel et sept jours suffisent pour en attraper un. Les enregistrements de flux n'y survivent pas, donc aucun routeur de la flotte n'est configuré pour en exporter.
La deuxième règle est que la conservation se fait sur une minuterie plutôt que sur de bonnes intentions. La suppression est une tâche planifiée, exécutée en production et sur chaque génération de sauvegarde qui a dépassé sa propre fenêtre. Personne n'a à se souvenir de purger quoi que ce soit, ce qui est une chance, car personne ne le ferait.
Le tableau
Généré à partir de la même configuration que les tâches de suppression lisent.
| Donnée | Conservation | Raison d'existence | Comment ça s'en va |
|---|---|---|---|
| Adresse e-mail | Durée de vie du compte | Réinitialisations de mot de passe et livraison de factures | Écrasée dans l'heure suivant la fermeture |
| Hash du mot de passe | Durée de vie du compte | scrypt, sel par compte, jamais réversible | Écrasé à la fermeture |
| Enregistrements de session | 14 jours, ou jusqu'à la déconnexion | Vous garder connecté et vous permettre de tuer un appareil | Supprimé à l'expiration, balayage horaire |
| Codes de récupération | Jusqu'à utilisation ou régénération | Le seul chemin de récupération de compte qui existe | Haché ; le hash est supprimé lors de la régénération |
| Journal d'accès au panneau | 7 jours | Détection de prise de contrôle de compte | Ligne supprimée ; l'adresse était déjà tronquée |
| Métadonnées de jeton API | Durée de vie du jeton | Portée, préfixe, dernière utilisation, expiration | Supprimé avec le jeton |
| Registres de facturation | 24 mois | Pour que vous puissiez prouver ce que vous avez acheté et quand | Supprimé lors du balayage anniversaire |
| Référence de paiement crypto | Jusqu'à ce que la facture soit réglée | Faire correspondre un paiement à une facture | Purgée au règlement, même transaction |
| Tickets de support | 90 jours après la clôture | Continuité pendant qu'un problème est encore actif | Fil et pièces jointes supprimés ensemble |
| Rapports d'abus | 12 mois | Reconnaître un plaignant récurrent ou un contrevenant récidiviste | Supprimé avec les coordonnées du plaignant |
| Sauvegardes de la base de facturation | 30 jours glissants | Récupérer de nos propres erreurs | La génération expire et le volume est taillé |
| Métadonnées de session console | 7 jours | Savoir qu'un tunnel s'est ouvert, rien sur son contenu | Supprimé avec le journal d'accès |
| Trafic de l'instance | Jamais enregistré | Nous routons des paquets plutôt que de les lire | Il n'y a rien à supprimer |
| Requêtes DNS | Jamais enregistré | Les résolveurs répondent et oublient | Il n'y a rien à supprimer |
| Adresse réseau à l’inscription | Jamais enregistré | L'application n'a pas de colonne pour cela | Il n'y a rien à supprimer |
| Contenu des instantanés et sauvegardes | Tant que vous les conservez | Chiffré avec votre clé avant de quitter l'instance | Nous conservons le texte chiffré et une longueur |
La page de compte du panneau affiche cette même liste avec vos propres valeurs et un compte à rebours en direct à côté de chaque minuteur. Tout ce qui est absent de cette page est absent de nos disques.
Jamais écrit, à aucun moment
La liste la plus courte a le plus d'importance. Il ne s'agit pas de courtes périodes de conservation; il s'agit d'absences.
Trafic à travers votre instance
Aucun export de flux, aucun échantillonnage, aucune capture de paquets, aucune inspection à quelque profondeur que ce soit. Les routeurs comptent les octets par port pour la planification de capacité et ne savent rien des paquets qui les composent.
Votre adresse réseau à l'inscription
La couche web ne la transmet pas à l'application, et l'application n'a nulle part où la mettre. Les journaux d'accès du panneau conservent un préfixe tronqué pendant sept jours, jamais l'adresse complète.
Requêtes DNS
Nos résolveurs répondent et oublient. La journalisation des requêtes est désactivée dans la configuration, et c'est la même configuration qui est livrée sur les trente-quatre sites.
Sessions console
Le port série et le VNC passent par un tunnel authentifié qui n'enregistre rien. Nous savons qu'une session s'est ouverte et fermée. Ce qui était à l'écran vous appartient.
Contenu des instances
Disques, mémoire, instantanés. Les sauvegardes et les instantanés sont chiffrés à l'intérieur de l'instance avant de la quitter, donc ce qui se trouve sur notre stockage est un texte chiffré avec une longueur attachée.
Tout ce qui appartient à un tiers
Pas d'analyse, pas de pixels publicitaires, pas de gestionnaire de balises, pas de polices hébergées en externe. La page que vous lisez n'adresse aucune requête à qui que ce soit d'autre que nous, ce que vous pouvez confirmer en environ quatre secondes avec un onglet réseau.
Comment fonctionne réellement la suppression
- 01
Le minuteur se déclenche
Toutes les heures, par catégorie, contre la base de données primaire et le stockage d'objets dans la même passe.
- 02
Les lignes sont supprimées, pas marquées
Supprimé signifie parti, avec une pierre tombale sans payload. Les colonnes de suppression logique ont été retirées du schéma à la révision de plateforme 5.1 précisément pour cette raison.
- 03
Les sauvegardes expirent
Les sauvegardes de facturation roulent sur une fenêtre de trente jours, donc un enregistrement supprimé aujourd'hui survit dans une génération de sauvegarde pendant au plus trente jours de plus. Derrière cette fenêtre, il n'y a ni archive, ni bande, ni copie froide.
- 04
Les journaux restent locaux
Les journaux de l'hôte ne sont envoyés nulle part. Chaque machine fait tourner les siens, et la rotation tronque plutôt qu'elle ne téléverse.
- 05
La clôture est complète
Fermez un compte et l'adresse, le hachage, les sessions et les jetons disparaissent dans l'heure. Les enregistrements de facturation servent leurs vingt-quatre mois sans rien d'identifiant qui y soit attaché.
Ce que la courte conservation ne fait pas
Ne presque rien conserver vous protège de nous, d'une demande qui nous est servie, et de ce que nous pourrions un jour perdre dans une violation. Cela ne fait rien pour les réseaux entre vous et votre instance, qui observent un trafic que nous ne touchons jamais, et cela ne fait rien pour ce que votre propre logiciel écrit sur votre propre disque.
Deux conséquences s'ensuivent, toutes deux pratiques. Vos journaux d'application vous appartiennent, ils résident sur votre stockage, et sauf si vous les désactivez, ils enregistreront volontiers l'adresse de chaque visiteur que vous servez. Une instantané d'une instance en cours d'exécution contient de même ce qui se trouvait en mémoire et sur disque à ce moment-là, chiffré avec votre clé plutôt que la nôtre, ce qui est une protection contre nous et aucune protection contre la clé laissée sans surveillance dans un gestionnaire de mots de passe.
Mieux vaut le dire ici que de laisser un tableau rempli du mot « jamais » impliquer plus qu'il ne le devrait.
Lisez la politique par rapport au panneau.
Chaque minuteur de cette page apparaît dans votre page de compte avec un compte à rebours en direct à côté. Si les deux ne sont jamais d'accord, le panneau est la vérité et la page est le bug — dites-le-nous et la page sera corrigée le jour même.