Naar de inhoud

Wat we beschermen, hoe, en wat er nog ontbreekt.

Een gateway voor je AI-verkeer zetten is een echte vertrouwensbeslissing, en die wordt genomen door iemand die een vragenlijst en een deadline heeft gekregen. Deze pagina is voor die persoon geschreven. Elke maatregel hieronder noemt het mechanisme dat hem afdwingt, elke datum is een toezegging en geen streven, en wat we niet hebben, staat er net zo duidelijk als wat we wel hebben.

INFRO-accounts zijn selfservice. De catalogus, de documentatie en het API-contract zijn openbaar, de gateway is uitgerold, en alles na v1 is gemarkeerd als Later. Plannen en proefperiode

Dit zijn toezeggingen over onze eigen agenda, geen beweringen over de conclusie van een auditor. Niets hier zegt dat INFRO gecertificeerd is, want dat is het niet — en waar een datum nog niet met het auditbureau is afgesproken, zegt deze pagina dat in plaats van er een te schatten.

Er zijn nog geen data vastgelegd. Er is een auditbureau aangesteld voor SOC 2. Het observatievenster is niet ingepland, dus er is hier niets te publiceren — en dat zeggen we liever dan een kwartaal te noemen dat we niet met het bureau hebben afgesproken. Zodra het is ingepland, verschijnen de data hier in plaats van dat ze naar individuele reviewers worden gestuurd, zodat iedereen ons aan dezelfde toezegging houdt. Hangt je planning ervan af, zeg het dan en we vertellen je hoe de planning er werkelijk voor staat — sales@infro.io.

SOC 2 Type I

Auditor aangesteld

Het oordeel van een auditor dat de controles die op deze pagina worden beschreven passend zijn ontworpen en op een bepaalde datum aanwezig waren. Het zegt niets over of ze in de loop van de tijd werkten — dat is Type II.

Observatie begint
Nog niet gepubliceerd
Rapport verwacht
Nog niet gepubliceerd

Bij afronding noemt deze pagina het auditbureau, de rapportdatum en de trust services criteria in scope, en het rapport zelf gaat uit onder NDA. Zolang het rapport er niet is, worden hier noch het bureau noch de scope beweerd.

SOC 2 Type II

Auditor aangesteld

Het oordeel van een auditor dat die controles effectief werkten over een observatievenster, wat het rapport is dat de meeste beveiligingsreviews eigenlijk willen.

Observatievenster begint
Nog niet gepubliceerd
Observatievenster eindigt
Nog niet gepubliceerd
Rapport verwacht
Nog niet gepubliceerd

Een Type II-venster kan niet worden samengeperst: het rapport is zo lang als de periode die het observeerde. Als het venster verschuift, verschuift de datum hier mee en wordt de wijziging vermeld in plaats van stilzwijgend gecorrigeerd.

ISO 27001

In beoordeling

Certificering van een informatiebeveiligingsmanagementsysteem in plaats van van een set controles. Reviewers buiten de VS vragen er vaker om dan om SOC 2.

In evaluatie. Er is geen auditor ingeschakeld en geen datum toegezegd — dus er staat geen datum op deze pagina, en die komt er niet totdat er iets is om aan toe te zeggen. Als ISO voor jou een harde eis is, zeg dat dan in je eerste e-mail; het is een nuttig signaal en het kan de volgorde veranderen waarin we dit doen.

We hebben vandaag geen certificering, en niets hierboven zegt iets anders. Zodra er een rapport is, noemt deze pagina het auditbureau, de rapportdatum en de criteria in scope, en gaat het rapport onder NDA de deur uit. Tot die tijd kunnen we je de maatregelen hieronder bieden, de antwoordenset en een eerlijk antwoord over waar de audit werkelijk staat — en als je proces een rapport nodig heeft vóór ondertekening, is het juiste antwoord wachten, niet onderhandelen.

Elk hiervan is nu ingevoerd, en elk noemt het mechanisme in plaats van de intentie — een databasetrigger, een binding, een uitgerolde header. Waar een maatregel een beleid is in plaats van een mechanisme, staat dat erbij.

Credentials en sleutels

Providercredentials zijn verzegeld en aan één tenant gebonden
De providersleutels die je koppelt worden versleuteld met AES-256-GCM onder een sleutel die als Worker-secret wordt bewaard, nooit in de database. De identifiers van organisatie en verbinding zijn als additional authenticated data gebonden, zodat een verzegelde credential die naar de rij van een andere tenant — of een andere rij van dezelfde tenant — wordt gekopieerd veilig faalt in plaats van te ontsleutelen. Credentials die voor kostenreconciliatie zijn gekoppeld, worden apart verzegeld, onder hun eigen binding.Gebonden als conn:<organization>:<connection> voor inferencecredentials en billing:<organization>:<provider kind> voor credentials van kosten-API's. Een databaselek alleen opent niets.
Er is nergens een onthulfunctie
Zodra een providercredential is opgeslagen, geeft geen enkele interface hem terug — niet de console, niet de API, niet de interne operatorconsole. Wat een van beide kanten kan zien zijn de laatste vier tekens en de tijdstempels. Als je de sleutel kwijtraakt, roteer je hem bij de provider; wij kunnen hem je niet tonen.De verbindingsquery's van de operatorconsole selecteren de verzegelde kolom helemaal niet. Een onthulknop is de functie die één gecompromitteerde sessie verandert in de leverancierssleutels van elke klant.
INFRO-API-sleutels zijn gehasht in rust
Een gatewaysleutel bestaat uit 32 bytes uit een cryptografische willekeurige bron. Wat wij opslaan is de SHA-256-digest, een weergaveprefix en de laatste vier tekens, zodat een databaselek geen bruikbare credential prijsgeeft. Intrekking schrijft een tombstone in plaats van de rij te verwijderen, zodat een verouderde cache-ingang die zich nog tussen locaties verspreidt haar niet kan overschaduwen.SHA-256 in plaats van een wachtwoord-KDF is bewust: tegen 32 willekeurige bytes bestaat geen woordenboek om aan te vallen, en een KDF zou 50-200ms gefactureerde rekentijd aan elk verzoek toevoegen.
De versleutelingssleutel kan worden geroteerd zonder jouw tussenkomst
Het roteren van de sleutel die klantcredentials verzegelt, verzegelt elke opgeslagen credential ter plekke opnieuw. Het vraagt klanten niets opnieuw in te voeren, en het opgeslagen algoritme draagt een versiestring zodat een toekomstig schema naast het huidige kan bestaan in plaats van een flag day te vragen.Zonder omwegen: die sleutel zonder back-up verliezen is onherstelbaar, en elke klant zou elke provider opnieuw moeten koppelen. Back-up en herstel zijn vastgelegd als operationele procedure.

Jouw content

We trainen niet op je data en verkopen haar niet
INFRO gebruikt je prompts, inputs of outputs nergens voor om te trainen en verkoopt ze niet. De providers die je koppelt, verwerken je data onder je eigen overeenkomsten en accountinstellingen bij hen — de logginginstellingen van INFRO veranderen die niet, en kunnen dat ook niet.Dit is de enige controle op deze pagina die een beleid is en geen mechanisme. Ze staat in de voorwaarden en de DPA, waar ze afdwingbaar is.
Het vastleggen van prompts en completions staat standaard uit
Verzoekmetadata — model, provider, route, tokenaantallen, latentie, geschatte kosten — wordt altijd vastgelegd, omdat meting, budgetten en governance zijn waar het product om draait. De inhoud van prompts en completions niet, tenzij een organisatie het vastleggen inschakelt. De databasekolom staat standaard uit; er is geen plan waarop hij standaard aan staat.org_settings.prompt_logging_enabled, DEFAULT false NOT NULL sinds de eerste migratie.
Het bewaarvenster is van jou, en de verwijderingsrun is echt
Wanneer vastleggen aan staat, kies jij het venster — 24 uur, 14, 30, 60 of 90 dagen, of een jaar — en wat wordt opgeslagen is de kortste van jouw keuze en het plafond van je plan, zodat een scherm nooit een venster kan aanbieden dat het plan stilzwijgend negeert. Een geplande job verwijdert vastgelegde payloads zodra ze hun vervaldatum passeren, in begrensde batches zodat een achterstand niet kan veranderen in een lange transactie op een tabel waar het verzoekpad naar schrijft.Elke payloadrij heeft zijn eigen expires_at; de opschoning draait op de minuutcron van het platform en de achterstand is een van de voorwaarden die een operatormelding oproept. Verwijderen is een DELETE, geen vlag.
Trace-export is een allowlist, geen kopie
Als je OpenTelemetry-spans naar je eigen collector stuurt, wordt de attributenset veld voor veld opgebouwd in plaats van een databaserij uit te spreiden, zodat een later toegevoegde interne kolom standaard niet in je observability-backend kan lekken. Het collector-endpoint moet HTTPS zijn, afgedwongen door een databaseconstraint, en de headers die je instelt worden verzegeld zoals elke andere credential.Dit is de enige plek waar INFRO bewust je data naar een host van een derde stuurt die jij hebt gekozen, en de enige plek waar een lek blijvend zou zijn. Een test stelt vast dat interne identifiers in de gecodeerde bytes ontbreken.

Toegang en verantwoording

Het auditlog kan niet worden herschreven
Elke policywijziging, credentialupdate, sleutelrotatie, plantoekenning en ledenwijziging is een nieuwe rij met een actor en een tijdstempel. Die rijen weigeren UPDATE, DELETE en TRUNCATE op databaseniveau — niet bij afspraak, en niet via applicatiecode die een supportscript zou kunnen omzeilen. De geschiedenis van je organisatie is een registratie en geen waarde.Afgedwongen door een databasetrigger. Noch een INFRO-engineer bij een psql-prompt noch een gecompromitteerde applicatie kan het ongemerkt wijzigen.
Klant- en operatoridentiteit delen niets
De klantconsole en de interne operatorconsole authenticeren tegen twee gescheiden systemen: aparte tabellen, aparte cookienamen, aparte ondertekeningsgeheimen, aparte origin-allowlists. Een klantsessie die aan een operator-endpoint wordt getoond, is daar anoniem en niet slechts onderbevoegd — ze draagt een naam waarnaar dat systeem niet zoekt, ondertekend met een sleutel die het niet heeft, tegen een tabel die het niet leest.De Worker weigert te starten als de twee ondertekeningsgeheimen gelijk zijn of als de twee originlijsten overlappen. Aanmelden als operator is permanent uitgeschakeld; accounts worden aangemaakt, en de rij van een geschorste operator blijft bewaard juist zodat een controle op bestaan hem niet weer binnen kan laten.
Tweestapsverificatie voor operators, en een step-up bij destructieve acties
TOTP-tweestapsverificatie is beschikbaar voor elke operator en staat standaard uit — een bewuste beslissing, hier vermeld en niet gesuggereerd. Met aan moet elke operatorsessie een code tonen en vervangt een wachtwoord er nooit een. Los van die instelling vragen acties die geld, credentials of de toegang van een andere operator wijzigen een tweede factor die in de laatste 15 minuten is getoond; waar tweestapsverificatie uit staat, is die step-up het wachtwoord. Tien opeenvolgende mislukkingen blokkeren het account vijftien minuten.Het bewijs is een rij met een factor per sessie die alleen de verificatiehook schrijft, zodat een sessie die in een andere browser is aangemaakt niets opent. Codes zijn eenmalig; back-upcodes zijn eenmalig en versleuteld opgeslagen.
Tweestapsverificatie, passkeys en sessies voor je eigen gebruikers
Elk account kan tweestapsverificatie inschakelen met een authenticator-app en tien eenmalige herstelcodes, en passkeys of hardwarebeveiligingssleutels registreren, die zelfstandig aanmelden of dienen als tweede stap na een wachtwoord. Een eigenaar of beheerder kan tweestapsverificatie voor de hele organisatie verplichten: een lid zonder bereikt niets in die organisatie totdat het is ingesteld. Single sign-on voldoet aan de eis, omdat je identity provider zijn eigen MFA afdwingt. Elk account kan zien waar het is aangemeld en elke sessie beëindigen.Codes zijn eenmalig en tien mislukte pogingen blokkeren het account vijftien minuten; er is geen dit-apparaat-onthouden. Een factor verwijderen vraagt een tweede factor die in de laatste tien minuten is getoond, niet alleen het wachtwoord. Een passkey meldt alleen zelfstandig aan als het apparaat de gebruiker heeft geverifieerd. Codes per e-mail en sms worden niet aangeboden.
Je organisatie wordt nooit uit het verzoek gelezen
Console- en operator-endpoints nemen de organisatie uit de geauthenticeerde sessie en geven die als expliciet argument door, zodat een aanroepplaats haar niet onvermeld kan laten en een body- of queryparameter die een organisatie noemt geen autorisatiebeslissing kan worden die op door aanvallers beheerde input is gebaseerd.Een structurele test laat echte rijen door de echte antwoordprojecties lopen met een sentinelwaarde en stelt vast dat interne identifiers en foutbodies van upstream een klantantwoord nooit bereiken.

Het platformoppervlak

Beveiligingsheaders op alle drie de oppervlakken
infro.io, de klantconsole en de operatorconsole sturen elk een Content-Security-Policy, HSTS, X-Content-Type-Options: nosniff, X-Frame-Options: DENY, een Referrer-Policy, een Permissions-Policy en Cross-Origin-Opener-Policy. De operatorconsole voegt een resourcepolicy en een no-index-directief toe, en haar aanmeldpagina draagt een nonce-policy per antwoord die helemaal geen inline script toestaat.Van buitenaf te verifiëren met curl -I tegen een van de drie hostnamen. Een ingecheckt script doorloopt elke route met afgedwongen policy en faalt bij elke schending, zodat een toegevoegde origin van een derde niet ongemerkt kan binnenkomen.
Uitgaande webhooks zijn ondertekend en roteren zonder onderbreking
Elke webhook die we sturen draagt een HMAC-SHA256-handtekening over de tijdstempel en de exacte ruwe body, zodat je zowel de echtheid kunt verifiëren als dat de payload onderweg niet is gewijzigd. Tijdens een geheimrotatie wordt een levering met zowel het oude als het nieuwe geheim ondertekend, zodat je het nieuwe kunt overnemen zonder een levering te missen.Headerformaat INFRO-Signature: t=<unix>,v1=<hex>, gedocumenteerd met verificatiecode. Handtekening en tijdstempel zijn de reden dat een webhook wordt behandeld als een melding om te bevestigen en nooit als gezag om op te handelen.
Eén gedocumenteerd foutoppervlak
Elke weigering van de gateway is een van een gepubliceerde set typen en codes, ook de weigeringen die onze schuld zijn. Verzoeken worden op grootte begrensd vóór enige parsing, met een gedocumenteerde 413 in plaats van een time-out, en de oppervlakken voor authenticatie, aanmelden en leads zijn rate-limited op het netwerkadres van de aanroeper.Volledig gepubliceerd op /docs/api/errors voordat je een regel code ertegen schrijft. Ratelimit-headers zeggen welke exact zijn en welke een bovengrens.
Een benoemde lijst van subverwerkers, met aanzegtermijn
De leveranciers die INFRO inschakelt staan op /subprocessors, met wat elk daadwerkelijk kan zien en waar het draait, en 30 dagen aanzegtermijn voordat een nieuwe begint met verwerken. De AI-providers die je verzoeken bedienen, heb jij gekozen en met hen contracteer je rechtstreeks — ze zijn geen subverwerkers van INFRO, en de pagina legt uit waarom dat onderscheid echt is en niet gemakshalve.Vandaag twee genoemde infrastructuurleveranciers. De database draait in Frankfurt en de gateway draait ernaast; verzoeken komen het netwerk van Cloudflare binnen waar de aanroeper ook is, en de pagina zegt dat in plaats van een regio te suggereren.

Deze lijst bestaat omdat de rest van de pagina minder waard is zonder haar. Als een van deze een aankoop blokkeert, is dat een gesprek dat we liever in je eerste e-mail voeren dan in week vier van een evaluatie.

Vandaag geen SOC 2 of ISO 27001
Geen van beide is in bezit. Een audit vraagt een operationele geschiedenis om te onderzoeken en de onze is kort. De roadmap hierboven is waar we ons in plaats daarvan aan hebben verbonden; als je proces niet kan doorgaan zonder rapport in de hand, is dat een reden om te wachten en geen reden om te onderhandelen.
Geen onafhankelijke penetratietest
Niets op deze pagina is beoordeeld door iemand buiten het team dat haar schreef. We houden een doorlopende interne beveiligingsreview per asset aan, en die is een zelfbeoordeling — wat het verschil is tussen ergens over hebben nagedacht en iemand het hebben laten proberen.
Geen verwerking alleen in de EU of regionaal
Verzoeken komen het netwerk van Cloudflare binnen op de locatie het dichtst bij de aanroeper, waar TLS eindigt, en de gateway zelf draait in Frankfurt, naast de database. Die plaatsing verkort roundtrips naar de database; het is geen dataresidentiecontrole, en regionaal beperkte verwerking vraagt infrastructuurrechten die we niet hebben gekocht. Een Europees ogende hostnaam die de verwerking niet echt beperkt, is een bewering die je in één verzoek kunt weerleggen, dus we bieden er geen aan.
De gehoste dienst is multi-tenant
Op elk zelfbediening-plan delen organisaties de gehoste dienst en is de isolatie ertussen logisch en niet fysiek. Als je eis is dat onze software in je eigen infrastructuur draait, is dat een zelf gehoste of hybride deployment onder een enterprise-overeenkomst, per contract afgebakend en afgesproken; geen zelfbediening-plan bevat er een.
Geen gepubliceerde uptime-SLA op zelfbediening-plannen
Een dienst zonder operationele geschiedenis kan niet eerlijk een beschikbaarheidstoezegging publiceren, dus we publiceren er geen. Een enterprise-overeenkomst kan een contractuele SLA met remedies bevatten, per contract afgesproken. De gezondheid van de gateway is vanuit je eigen browser te controleren op /status.
SSO en SCIM zijn nieuw
SAML- en OIDC-single sign-on en SCIM 2.0-provisioning zijn geïmplementeerd en inbegrepen vanaf het Business-plan, afhankelijk van een via DNS geverifieerd domein. Ze hebben in productie nog niet tegen elke identity provider gedraaid, dus we zetten de eerste verbinding met elke klant samen op in plaats van het zelfbediening te noemen.
Guardrails zijn patroongebaseerd; er zijn geen classifier-guardrails
Guardrails voor chat completions, inbegrepen vanaf het Business-plan, controleren prompts en antwoorden op vaste patronen — e-mailadressen, telefoonnummers, kaartnummers, IBAN's, Amerikaanse Social Security-nummers, IP-adressen, API-sleutels en termen die je opgeeft — en blokkeren, redigeren of markeren wat overeenkomt. Patroonherkenning mist alles buiten die formaten. Niets detecteert promptinjectie, jailbreaks, toxiciteit of niet-relevante verzoeken, en afbeeldingen, audio en andere endpoints dan chat completions worden niet geïnspecteerd. Als je review een contentclassifier op het verzoekpad nodig heeft, levert INFRO die niet.
Geen kostenplafond per verzoek
Budgetten begrenzen het totaal dat je organisatie, een project, een lid of een sleutel kan bereiken, en ratelimieten begrenzen het verzoekvolume. Wat nog niet bestaat is een controle die één ongewoon duur verzoek weigert. Een legitieme grote prompt en een misbruikende zien er voor de gateway hetzelfde uit, en een klant zou die controle redelijkerwijs verwachten.
Ratelimieten worden per locatie afgedwongen
Limieten worden geteld door de ratelimitingdienst van Cloudflare op de locatie waar de gateway draait, niet door één globale teller. De gateway is in Frankfurt geplaatst, dus het meeste verkeer wordt daar geteld, maar plaatsing is een routeringsvoorkeur en geen garantie, en elders afgehandeld verkeer wordt apart geteld — zodat een sleutel kort zijn nominale limiet kan overschrijden. Dit is een bewuste afweging — het alternatief met een globale teller remt de grootste klant af op onze architectuur in plaats van op zijn limiet — en de API-documentatie zegt welke ratelimit-headers exact zijn en welke een bovengrens.

We vermelden wat er niet is net zo duidelijk als wat er wel is. Als een rij hier een aankoop blokkeert, voeren we dat gesprek liever nu dan na een contract.

Niet trainen op je dataToegezegd
INFRO traint niet op je prompts, inputs of outputs en verkoopt ze niet. Het datagebruik door de AI-providers die je koppelt volgt je overeenkomsten en instellingen met hen.
Contentlogging standaard uitToegezegd
Gebruiksmetadata ondersteunt platformmetering, kostenramingen en governance. Optionele prompt- en responslogs staan standaard uit, worden apart opgeslagen en zijn beperkt door de bewaartermijn van je plan.
Sleutels gehasht in rustToegezegd
API-sleutels worden opgeslagen als SHA-256-digests van 32 CSPRNG-bytes. Bij een databaselek komt geen bruikbare credential vrij, en intrekking schrijft een tombstone zodat een verouderde cache-ingang haar niet kan overschaduwen.
Append-only auditlogToegezegd
Auditrijen kunnen niet worden bijgewerkt of verwijderd — de database zelf weigert dat. Elke policywijziging, credentialupdate, sleutelrotatie en ledenwijziging is een nieuwe rij met een actor, zodat de geschiedenis van je organisatie niet ongemerkt herschreven kan worden.
Gepubliceerde lijst van subverwerkersToegezegd
Infrastructuurleveranciers worden genoemd op /subprocessors, met 30 dagen opzegtermijn voordat een nieuwe begint met verwerken, behoudens de noodgevalsuitzondering die daar staat beschreven. Je kiest en contracteert rechtstreeks met de AI-providers die je koppelt.
SOC 2 / ISO 27001Nog niet
Niet in bezit, en niet beweerd. Een certificering vraagt een operationele geschiedenis om te auditen en die van de gateway is kort. Wat wel wordt gepubliceerd is de roadmap op /trust: voor SOC 2 is een auditbureau ingeschakeld zonder dat al een observatieperiode is ingepland, ISO 27001 wordt geëvalueerd zonder auditor en zonder datum, en geen van beide wordt als meer beschreven dan dat. Datums verschijnen daar wanneer het bureau ze afspreekt, niet eerder.
DPA met Standard Contractual ClausesToegezegd
Volledig gepubliceerd op /dpa, inclusief de SCC's met het UK Addendum. Ondertekening gaat per e-mail en niet via de console — er is geen flow voor medeondertekening, en de pagina zegt dat in plaats van een knop te suggereren.
Dataresidentie in de EUNog niet
Vereist infrastructuurrechten die we niet hebben aangeschaft. Een hostnaam die er alleen Europees uitziet, is een claim die een klant met één verzoek kan weerleggen, dus we bieden er geen aan totdat de verwerking echt beperkt is.

Onze antwoorden op de vragen die een security review werkelijk stelt — gegevensverwerking, versleuteling, sleutelbeheer, toegangsbeheer, monitoring, compliance — gepubliceerd als gewoon tekstdocument dat je kunt lezen, diffen en in je eigen tooling kunt plakken.

De antwoordenset downloadenLees het in de browser

Het is bewust Markdown in plaats van een CAIQ-spreadsheet. De waarde van de CAIQ zit in de nummering van de vragen, en een gedeeltelijk ingevulde suggereert lidmaatschap van een register waar we niet in staan — dus dit behandelt hetzelfde in de volgorde waarin een reviewer het leest, in een formaat dat zowel jouw tooling als de onze kan diffen. Het wordt gegenereerd uit dezelfde data als deze pagina, dus de twee kunnen elkaar niet tegenspreken.

Stuur ook je eigen vragenlijst, in welke vorm dan ook. We beantwoorden elke vraag, ook die waarop het antwoord nee is, en zeggen welke daarvan een datum hebben. Mail sales@infro.io.

Lees ze voordat je ons ernaar vraagt. Voor geen ervan is een gesprek, een NDA of een salesgesprek nodig om ze te zien.

Verwerkersovereenkomst
De volledige tekst, inclusief de Standard Contractual Clauses met het UK Addendum, met de meldplicht bij datalekken en het bewaarschema. Ondertekening gaat per e-mail — er is geen tekenflow in de console, en de pagina zegt dat in plaats van een knop te suggereren.
Subverwerkers
Elke leverancier die INFRO inschakelt, wat elk ervan werkelijk kan zien, waar het draait, en 30 dagen vooraankondiging voordat een nieuwe begint met verwerken. Ook staat er waarom de AI-providers die je koppelt geen subverwerkers van INFRO zijn.
Privacybeleid
Wat er wordt verzameld, de rechtsgronden, hoe lang elke categorie wordt bewaard en de rechten van een betrokkene. Afgestemd op de bewaartermijnen op deze pagina in plaats van daarmee in tegenspraak.
Beleid voor acceptabel gebruik
Wat niet op het platform mag worden gebouwd, inclusief de categorieën waarvoor geen goedkeuringsroute bestaat, en wat er gebeurt als we het ontdekken. Geschreven in het vocabulaire van de kaartnetwerken, omdat zij degenen zijn die het vragen.
Beleid voor het melden van kwetsbaarheden
Wat in scope is, hoe je test zonder een andere klant te schaden, wat we toezeggen als je meldt, en de safe harbour voor onderzoek te goeder trouw. Ook gepubliceerd als /.well-known/security.txt.
Servicevoorwaarden
De commerciële overeenkomst, de exploiterende entiteit en haar jurisdictie, en wat er met een account gebeurt als die afloopt.
De fouttaxonomie
Elke weigering die de gateway kan geven, gepubliceerd voordat je er een regel code tegen schrijft — ook de weigeringen die onze fout zijn en niet de jouwe.
Gegevensverwerking, in de API-referentie
Veld voor veld: wat er bij elk verzoek wordt vastgelegd, wat vastleggen toevoegt als een organisatie het aanzet, en hoe het bewaarvenster wordt toegepast. De engineerversie van de bewaarinstelling die hierboven is beschreven.
Sleutels en authenticatie
Hoe gatewaysleutels worden uitgegeven, afgebakend tot een project en een omgeving, per rol beperkt en ingetrokken — geschreven voor degene die moet beslissen wie in je organisatie er een krijgt.
Beveiliging van AI-API-sleutels
Waar providersleutels staan met en zonder gateway, de vier controles die elke gatewaysleutel doorloopt voordat een provider wordt aangeroepen, en wat je doet in het eerste uur nadat een sleutel is gelekt.

Iets gevonden?

Stuur het naar security@infro.io. Die mailbox wordt gelezen door de mensen die het kunnen oplossen, en is bedoeld voor meldingen van kwetsbaarheden, niet voor support.

Scope, testregels en de safe harbour volledig: het beleid voor het melden van kwetsbaarheden.

  • We bevestigen binnen één werkdag en houden je op de hoogte terwijl we onderzoeken, ook als het antwoord is dat we het al wisten.
  • Onderzoek te goeder trouw is hier veilig. We ondernemen geen juridische stappen tegen tests die privacyschendingen, verslechtering van de dienst en vernietiging of exfiltratie van data die niet van jou is, vermijden.
  • Er is geen bug bounty-programma en geen vergoeding. Dat zeggen we vooraf, want het achteraf ontdekken is erger dan het van tevoren weten.
  • Commerciële en inkoopvragen horen ergens anders — sales@infro.io voor een security review of een vragenlijst, support@infro.io voor een account dat je al hebt.