01Токены Meta
- Доступ к Meta ads.cab получает только через Facebook Login for Business. Паролей, кук и браузерных сессий Facebook у нас нет и не бывает.
- Токен шифруется в приложении алгоритмом AES-256-GCM до записи в базу. Ключ живёт в окружении сервера, отдельно от базы и её копий.
- Токены не покидают сервер и не попадают в браузер. Каждый вызов Graph API подписан
appsecret_proof; секрет приложения тоже остаётся на сервере. - При отключении ads.cab отзывает свои права в Meta и стирает токен.
02При передаче
Трафик к ads.cab и к API Meta идёт только по HTTPS (TLS 1.2 и выше). Кука сессии deck_session - HttpOnly, Secure, SameSite=Lax. Шрифты, стили и скрипты сайта отдаёт наш сервер; сторонних CDN и встроенных скриптов нет, политика CSP это закрепляет.
03Изоляция кабин
Любая запись принадлежит кабине, и любой запрос ограничен кабиной вошедшего человека. Данные разных рекламодателей не смешиваются. Внутри кабины права проверяет сервер в каждом разделе: участник видит только выданные ему профили, кабинеты и страницы.
04Журналы
- Каждый вызов API Meta записывается со временем, адресом, результатом и заголовками лимитов - без токена.
- Каждое действие от вашего имени - запуски, статусы и бюджеты, прогоны правил Watch, модерация в Comms, подключения и удаления - попадает в журнал аудита кабины.
05Наш собственный доступ
К рабочим системам допущены только люди, которые обслуживают ads.cab, и только когда это нужно для работы; доступ записывается. В данные кабины мы смотрим лишь по вашему запросу в поддержку или при расследовании инцидента.
06Резервные копии
Копии зашифрованы и ротируются: старше 30 дней уничтожаются. Удаление данных доходит и до копий по мере их истечения, в те же 30 дней. См. Удаление данных.
07Инциденты
При инциденте, затрагивающем ваши данные, мы сразу его локализуем и устраняем, без неоправданной задержки сообщаем владельцам затронутых кабин, а если затронуты данные платформы Meta - как можно скорее сообщаем Meta через её канал для инцидентов. Надзорные органы уведомляем там, где этого требует закон.
08Сообщить об уязвимости
Нашли уязвимость - напишите на [email protected] с шагами воспроизведения. Подтверждаем получение в течение 3 рабочих дней и держим в курсе до исправления. Не трогайте чужие данные, не нагружайте сервис и не публикуйте детали до исправления. Добросовестное исследование по этим правилам мы не преследуем.
Машиночитаемый контакт: /.well-known/security.txt.