Security sprint

Security baseline pre enterprise projekt

Ak sa má projekt napájať na klientov a korporáty, bezpečnosť musí byť jadro produktu, nie dodatok. Toto je praktická baseline toho, čo už máme a čo má nasledovať bez odkladu.

Hotové

Edge hardening

CSP, HSTS, Referrer-Policy, Permissions-Policy, CORP a ďalšie bezpečnostné hlavičky na edge vrstve.

Hotové

API guardrails

CORS allowlist, payload size limit, content-type enforcement, no-store cache politika, request-oriented traceability a rate limiting pri VIES endpointoch.

Postupne

Identity & enterprise enforcement

Workspace API key lifecycle už máme, ďalšia vrstva je SSO, SCIM, tvrdší server-side zápisový model a tenant observability.

Checklist absolútnej priority

Kontrola

Čo znamená

Status

Security headers

Bezpečnostné hlavičky na všetkých verejných routách a samostatné CSP vrstvy pre citlivejšie tool pages.

Hotové

Origin allowlist

API už nepovoľuje ľubovoľný origin; prístup sa viaže na allowlist spravovaný cez env.

Hotové

Payload controls

Limity na veľkosť requestov a content-type guard pre verejný endpoint.

Hotové

Internal mutation guard

Mutačné import/cron funkcie sú už chránené internými tokenmi namiesto voľného verejného volania.

Hotové

API key lifecycle

Workspace owner/admin vie kľúče vydať, rotovať a revokovať cez admin flow s audit stopou.

Hotové

Real auth + RBAC

Role model už stojí, ale úplne tvrdý backend/session enforcement a enterprise SSO ešte treba dorobiť.

Immutable audit

Audit trail existuje, ďalší krok je silnejšia immutable a export-friendly evidence vrstva.

SSO / SCIM

Korporátna identita, provisioning a tenant lifecycle patria do ďalšieho enterprise sprintu.

Ďalšia tvrdá vrstva

Server-side writes

Čím viac mutácií pôjde cez server-side policy a RPC, tým lepšie obstojíme pri enterprise review.

Observability

Correlation IDs, webhook logs, status vrstva a incident reporting majú byť rovnako presné ako auth baseline.

Qualified evidence

Archiving, audit export a sealing dotvárajú bezpečnostný príbeh až do daňovej kontroly.

Prepojené moduly

Identity

Enterprise Identity

SSO, lifecycle a access governance.

Otvoriť identity vrstvu →

Ops

Status & Observability

Webhook monitoring a traceability pre enterprise klientov.

Otvoriť observability →

Qualified Archiving

Dôkazová vrstva a retention po spracovaní dokumentu.

Otvoriť archiving →

Trust

Trust Center

Biznisový a technický obal pre celý security model.

Otvoriť trust center →