امنیت و حاکمیت

داده و دسترسی در محدوده زیرساخت شما مدیریت می شود

NarChat کنترل های حاکمیتی داخلی دارد، اما ادعای گواهی رسمی انطباق نمی کند. تمرکز محصول روی کاهش ریسک عملیاتی، دسترسی احراز شده و قابلیت بررسی اقدامات است.

کنترل های امنیتی

کنترل هایی که برای عملیات تیمی مهم اند

این کنترل ها از مستندات فعلی محصول آمده اند و باید به عنوان قابلیت های پیاده سازی شده معرفی شوند، نه جایگزین گواهی های رسمی انطباق.

احراز هویت، مجوز و نشست

  • ورود با نام کاربری، ایمیل یا موبایل و گذرواژه، به همراه جریان OTP جایگزین
  • هش گذرواژه با scrypt و مهاجرت خودکار هش های قدیمی SHA-256 در ورود موفق
  • قفل و throttling برای ورود و OTP، همراه با ثبت رویدادهای احراز هویت
  • مجوزهای سطح حساب در REST API، اشتراک های Socket.IO و مسیرهای رسانه
  • پاکت های AES-256-GCM، شناسه کلید و کلیدهای قبلی برای چرخش، در صورت پیکربندی رمزنگاری
  • جستجوی پیام رمز شده با توکن های کور کل کلمه، نه ایندکس متن ساده کامل
  • رسانه و آواتار از مسیرهای احراز شده و با رعایت مجوز حساب سرو می شوند
  • اعتبارسنجی Zod، headerهای امنیتی، محدودیت نرخ پیش از body parsing و محدودیت JSON مسیرمحور
  • متریک Prometheus با توکن scrape و مقایسه زمان ثابت محافظت می شود
  • گزارش حسابرسی برای ورود، نشست، کاربر، مجوز، مخاطب، چت، پیام، پخش، حساب، پشتیبان، تنظیمات و به روزرسانی

حاکمیت عملیاتی

رمز مشترک و دستگاه شخصی جای مدل دسترسی سازمانی را نمی گیرد

هر اپراتور با حساب خودش وارد می شود و دسترسی او به حساب های متصل و عملیات حساس از سطح مدیریت کنترل می شود.

مدیریت کاربران و سطح دسترسی در NarChat

مدیریت کاربر، نشست و مجوز حساب

نقش مدیر و کاربر، فعال یا غیرفعال سازی، آواتار کاربر، نشست و دستگاه، لغو نشست و مجوزهای مشاهده، ارسال، مدیریت و حذف برای هر حساب متصل در محصول مستند شده اند.

  • محدود کردن اپراتور به حساب ها و اقدامات مجاز
  • ثبت رویدادهای حساس برای بررسی مدیریتی
  • سرو رسانه و آواتار از مسیر احراز شده با رعایت مجوز حساب

شفافیت ادعا

کنترل امنیتی، گواهی انطباق نیست

مستندات فعلی NarChat ادعای SOC 2، ISO 27001، HIPAA یا وضعیت رسمی مشابه ندارد. این مرزبندی باید در فروش، وب سایت و پیشنهادها حفظ شود.

مناسب برای

  • سازمانی که پیام مستقیم مشتری را در چند پلتفرم مدیریت می کند.
  • تیمی که به کنترل خودمیزبان، پشتیبان، گزارش و حاکمیت داخلی نیاز دارد.
  • کسب و کاری که کانال های منطقه ای و جهانی را همزمان پوشش می دهد.
  • مدیری که می خواهد دسترسی هر اپراتور را به حساب ها و اقدامات مشخص محدود کند.

نباید این طور فروخته شود

  • انتشار عمومی شبکه های اجتماعی، زمان بندی پست یا مدیریت کانال عمومی.
  • مدیریت گروه، سوپرگروه، انجمن، ربات یا مکالمات گروهی دایرکت.
  • اتوماسیون بازاریابی انبوه، scraping یا جایگزینی کامل CRM.
  • ادعای گواهی رسمی انطباق بدون پروژه و مستندات مستقل انطباق.