0 утечек
токенов за всю историю платформы
Trust Center • Zero-Trust архитектура
Безопасность корпоративного уровня
Изолированные контейнеры сессий, аппаратный vault токенов AES-256-GCM, маскирование персональных данных и полный audit trail. Мы никогда не просим пароли — только официальный Meta* OAuth 2.0.
SOC 2 Type II (в процессе)GDPR152-ФЗ (для RU)Meta* App ReviewISO 27001 (roadmap)
Zero-Trust Session SandboxingСлой активен
Нажмите на слой, чтобы увидеть, как он защищает ваши аккаунты
Каждая сессия аккаунта живёт в отдельном sandbox-контейнере: сбой или компрометация одного не затрагивает остальные.
AES-256-GCM
шифрование + HSM-ключи, ротация каждые 90 дней
365 дней
retention неизменяемого audit trail
24/7
мониторинг аномалий и автоотзыв токенов
Защита в глубину
Четыре слоя между угрозой и вашим аккаунтом
Defense in depth: компрометация одного слоя не даёт атакующему ничего, кроме зашифрованного мусора.
Zero-Password модель
Никаких паролей и cookies из браузера. Только официальный Meta* OAuth 2.0 с минимальными scopes и отзывом в 1 клик.
Песочницы сессий
Изоляция на уровне ядра: сеть, файлы и память каждой сессии отделены. Egress только к allowlist-хостам Meta* и Telegram.
PII-минимизация
Собираем только нужное для работы. Маскирование в UI, логах и уведомлениях. Удаление всех данных по запросу за 72 часа.
Контроль доступа команды
RBAC-роли, SSO, обязательный 2FA и журнал действий каждого сотрудника. Принцип наименьших привилегий по умолчанию.
Резерв и восстановление
Шифрованные бэкапы каждые 6 часов в двух регионах ЕС. RPO 6 часов, RTO 4 часа, ежеквартальные учения восстановления.
Безопасность поставок
SBOM каждой сборки, сканирование зависимостей в CI, подписанные релизы. Никаких «серых» прокси и эмуляции браузеров.
Кому критична такая защита
Три сценария, где цена ошибки — потеря аккаунта с аудиторией.
25+ аккаунтов
Агентства с портфелем брендов
Изолированные воркспейсы клиентов: токены одного бренда недоступны команде другого. Client Portal с отдельной аутентификацией.
€20M+ штрафов
Компании под GDPR и 152-ФЗ
Локализация данных в ЕС, DPA по запросу, удаление по требованию. Для российских клиентов — обработка по 152-ФЗ.
1 клик
Бренды с рекламными бюджетами
Компрометация рекламного кабинета останавливается автоотзывом токена за секунды. Dark Post Shield продолжает скрывать спам.
Engineering Deep Dive
Как это устроено внутри
Пять инженерных решений, которые проверяет наш внешний аудит.
1. Шифрование токенов
AES-256-GCM, nonce на каждую запись, ключи в HSM без права экспорта. Расшифровка — только внутри vault-процесса, токен никогда не попадает в логи.
2. BYOS и BYOK
Bring Your Own Secret/Keys: крупные клиенты подключают свой HSM или KMS. Отзыв ключа на вашей стороне мгновенно инвалидирует все токены.
3. Meta* App Review
Проходим официальный App Review Meta* с обоснованием каждого permission. Используем только одобренные scopes и Graph API v20.0 — без скрапинга.
4. Ротация токенов
Автопродление long-lived токенов за 7 дней до истечения, ротация ключей шифрования каждые 90 дней, мгновенный отзыв при аномалии входа.
5. Audit trail
Append-only журнал: публикация, одобрение, скрытие комментария, вход. Подпись каждого события, экспорт в SIEM (Syslog/HTTPS), хранение 365 дней.
Incident Response: 4 шага за 1 час
План реагирования, который мы тестируем ежеквартально.
- 0–15 мин: изоляция: Автоотзыв затронутых токенов, заморозка сессий, алерт on-call инженеру и владельцу аккаунта в Telegram.
- 15–30 мин: оценка: Анализ audit trail: какие действия совершены, какие данные затронуты. Классификация по severity P1–P4.
- 30–45 мин: устранение: Ротация ключей, перевыпуск токенов через OAuth, блокировка вектора (IP, ключ, сотрудник).
- 45–60 мин: уведомление: Отчёт клиенту: что случилось, что затронуто, что исправлено. Для GDPR — нотификация DPA в течение 72 часов.
Матрица «угроза → защита»
Что может пойти не так — и какой слой это останавливает.
| Угроза | Защита Boostly | Результат |
|---|---|---|
| Фишинг пароля сотрудника | Zero-Password + SSO + 2FA | Пароля не существует — красть нечего |
| Утечка базы токенов | AES-256-GCM + HSM без экспорта | Шифротекст без ключей бесполезен |
| Взлом одной сессии | Изоляция контейнеров + egress-allowlist | Атака не выходит за пределы sandbox |
| Злоупотребление инсайдера | RBAC + audit trail + маскирование PII | Каждое действие подписано и видно |
| Компрометация рекламного кабинета | Автоотзыв токена + алерты 24/7 | Доступ закрыт за секунды |
Безопасность, которую можно проверить
Запросите security whitepaper, отчёт pentest по NDA или тестовый доступ с изолированным воркспейсом.
Безопасность, которую можно проверитьИзолированный воркспейс • Отзыв доступа в 1 клик
Слой активенНачать 3 дня бесплатно
Частые вопросы о безопасности
Нет. У нас Zero-Password модель: авторизация только через официальный Meta* OAuth 2.0. Пароля нет ни в базе, ни в логах — его нечего украсть.
Атакующий получит AES-256-GCM шифротекст. Ключи живут в аппаратном HSM без права экспорта, поэтому расшифровать токены вне нашего vault невозможно.
Да. Для российских клиентов данные обрабатываются в соответствии с 152-ФЗ: минимизация состава, удаление по запросу за 72 часа, договор поручения на обработку.
Автоматически за секунды при аномалии (новый IP/гео, массовые действия). Вручную — одна кнопка «Отозвать все токены» в дашборде и команда боту в Telegram.
Никто без необходимости: RBAC, маскирование PII в интерфейсе, каждое обращение к данным пишется в audit trail. Доступ выдаётся по тикету с TTL.
Да: ежегодный pentest внешнего подрядчика, сканирование зависимостей в каждом CI-прогоне, SOC 2 Type II — в процессе сертификации. Отчёты предоставляем по NDA.