Бóльшая часть этой таблицы говорит «никогда».
Хранение — это единственное утверждение о конфиденциальности, которое можно проверить на практике, потому что запись либо существует, либо нет. Далее приведён полный список, включая записи, которые неудобны для нас.
Принцип, если можно так выразиться
В этом ничего хитрого нет. Мы выяснили, какие записи действительно необходимы для работы сервиса, и перестали собирать всё остальное.
Данные, которые никогда не записываются, не могут быть предоставлены, изъяты по запросу, утечены или проданы.
Каждый лог должен пережить один вопрос: что сломается, если его не будет? Логи доступа к панели переживают его, потому что захват аккаунта — реальное событие, и семи дней достаточно, чтобы его обнаружить. Записи о трафике не переживают его, поэтому ни один маршрутизатор во флоте не настроен на их экспорт.
Правило второе: срок хранения работает по таймеру, а не по благим намерениям. Удаление — это запланированная задача, выполняемая в проде и для каждой резервной копии, которая пережила своё окно. Никому не нужно помнить о необходимости очистки, что к счастью, потому что никто бы и не вспомнил.
Таблица
Сгенерировано из той же конфигурации, которую читают задачи удаления.
| Данные | Срок хранения | Зачем они существуют | Как они удаляются |
|---|---|---|---|
| Адрес электронной почты | Время жизни аккаунта | Сброс пароля и доставка счетов | Перезаписывается в течение часа после закрытия |
| Хэш пароля | Время жизни аккаунта | scrypt, индивидуальная соль на каждый аккаунт, необратимый | Перезаписывается при закрытии |
| Записи сессий | 14 дней или до выхода из системы | Поддержание вашего входа и возможность отключить устройство | Удаляются по истечении срока, ежечасная очистка |
| Резервные коды | Пока не будут использованы или не будут пересозданы | Единственный существующий способ восстановления аккаунта | Хэшируются; хэш стирается при пересоздании |
| Лог доступа к панели | 7 дней | Обнаружение захвата аккаунта | Строка удаляется; адрес уже был усечён |
| Метаданные токена API | Время жизни токена | Область действия, префикс, последнее использование, срок действия | Удаляются вместе с токеном |
| Записи счетов | 24 месяца | Чтобы вы могли подтвердить, что и когда купили | Удаляются при ежегодной очистке |
| Ссылка для оплаты криптовалютой | До оплаты счета | Связывание платежа со счетом | Удаляется при расчёте, в той же транзакции |
| Тикеты поддержки | 90 дней после закрытия | Непрерывность, пока проблема ещё актуальна | Обсуждение и вложения удаляются вместе |
| Жалобы на злоупотребления | 12 месяцев | Распознавание повторного жалобщика или повторного нарушителя | Удаляются вместе с данными жалобщика |
| Резервные копии базы данных биллинга | 30 дней, скользящее окно | Восстановление после наших собственных ошибок | Поколение истекает, и том усекается |
| Метаданные консольных сессий | 7 дней | Знать, что туннель открылся, ничего о его содержимом | Удаляются вместе с логом доступа |
| Трафик инстансов | Никогда не записывается | Мы маршрутизируем пакеты, а не читаем их | Удалять нечего |
| DNS-запросы | Никогда не записывается | Резолверы отвечают и забывают | Удалять нечего |
| Сетевой адрес при регистрации | Никогда не записывается | В приложении нет для него колонки | Удалять нечего |
| Содержимое снапшотов и резервных копий | Пока вы их храните | Шифруется вашим ключом перед отправкой с инстанса | Мы храним шифротекст и длину |
Страница аккаунта в панели показывает этот же список с вашими значениями и с обратным отсчётом рядом с каждым таймером. Всё, чего нет на этой странице, отсутствует и на наших дисках.
Никогда не записывается
Короткий список важнее. Это не краткосрочное хранение; это отсутствие.
Трафик через ваш инстанс
Ни экспорта потоков, ни сэмплирования, ни захвата пакетов, ни анализа любой глубины. Маршрутизаторы считают байты на порт для планирования ёмкости и ничего не знают о пакетах, из которых они состоят.
Ваш сетевой адрес при регистрации
Веб-уровень не передаёт его приложению, и приложению некуда его записать. Журналы доступа к панели хранят усечённый префикс в течение семи дней и никогда не хранят полный адрес.
DNS-запросы
Наши резолверы отвечают и забывают. Логирование запросов отключено в конфигурации, и эта же конфигурация поставляется на все тридцать четыре площадки.
Консольные сессии
Serial и VNC работают через аутентифицированный туннель, который ничего не записывает. Мы знаем, что сессия открылась и закрылась. То, что было на экране, — ваше.
Содержимое инстансов
Диски, память, снапшоты. Резервные копии и снапшоты шифруются внутри инстанса до отправки, поэтому на нашем хранилище — шифротекст и его длина.
Всё, что принадлежит третьим сторонам
Ни аналитики, ни рекламных пикселей, ни менеджера тегов, ни внешних шрифтов. Страница, которую вы читаете, не обращается ни к кому, кроме нас, — это можно проверить секунд за четыре во вкладке сети.
Как на самом деле работает удаление
- 01
Срабатывает таймер
Ежечасно, по каждой категории, против основной базы данных и объектного хранилища за один проход.
- 02
Строки удаляются, а не помечаются
Удалено — значит удалено, с tombstone, который не несёт полезной нагрузки. Колонки мягкого удаления убраны из схемы в ревизии платформы 5.1 именно для этого.
- 03
Резервные копии устаревают
Резервное копирование биллинга работает в окне в тридцать дней, поэтому запись, удалённая сегодня, может оставаться в поколении резервных копий ещё максимум тридцать дней. За этим окном нет ни архива, ни лент, ни холодных копий.
- 04
Логи остаются локальными
Логи хостов никуда не передаются. Каждая машина ротирует свои, и ротация усекает, а не выгружает.
- 05
Закрытие полное
При закрытии аккаунта адрес, хэш, сессии и токены исчезают в течение часа. Записи счетов доживают свои двадцать четыре месяца без какой-либо идентифицирующей информации.
Что не даёт краткосрочное хранение
Хранение почти ничего не защищает вас от нас, от запроса, предъявленного нам, и от того, что мы когда-либо можем потерять при взломе. Это ничего не делает с сетями между вами и вашим инстансом, которые видят трафик, которого мы не касаемся, и ничего не делает с тем, что ваше собственное ПО записывает на ваш диск.
Из этого следуют два практических вывода. Ваши журналы приложений принадлежат вам, они хранятся на вашем диске, и, если вы их не отключите, они будут добросовестно записывать адрес каждого посетителя, которого вы обслуживаете. Снимок работающего инстанса точно так же содержит всё, что было в памяти и на диске в этот момент, зашифрованное вашим ключом, а не нашим, что защищает от нас и никоим образом не защищает от ключа, лежащего без присмотра в менеджере паролей.
Лучше сказать это здесь, чем позволить таблице, полной слова «никогда», намекать на большее, чем следует.
Сверяйте политику с панелью управления.
Каждый таймер на этой странице отображается в личном кабинете с обратным отсчётом в реальном времени. Если они когда-либо разойдутся, панель — это правда, а страница — ошибка; сообщите нам, и страницу исправят в тот же день.