セキュリティ
データに対して実際にやっていること。
このページはプロダクトにある制御を列挙します。監査されていないバッジは列挙しません。特に SOC 2 や同等の認証は主張しません。
アクセス
サイトは TLS で提供します。プロダクトセッションは allwr_session Cookie：HttpOnly と SameSite=Lax なので、ページ上のスクリプトは読めず、他サイトは POST に付けられません。
身分は login.allwr.io の OpenID Connect 経由。ブラウザはアクセストークンを持ちません。参照は PHP セッションです。データの変更にはそのセッションの CSRF 証明が必要です。
銀行データ
銀行パスワードは保存しません。接続はアグリゲーターのウィジェットで起きます。完全な IBAN、暗号化して運ぶ残高、更新トークンは AES-256-GCM です。マスターキーはリポジトリにありません。
アプリログはそのデータを平文で残しません。権限・同意・支払いの変更は誰がやったかの記録を残します。
問題を報告する
データやアクセスに影響する欠陥を見つけたら privacy@allwr.io へ。手順を含め、銀行資格情報や生きた API キーは含めないでください。公開バウンティはありません。報告は読み、返信します。