Jak chronię Twój kod i dane

Moje urządzenia i konta

• Szyfrowane i zablokowane

  Pełne szyfrowanie dysku na każdej maszynie, automatyczna blokada, gdy odchodzę, służbowy komputer, którego nikt inny nie używa. Żadnego kodu klientów na współdzielonych ani prywatnych urządzeniach.

• Aktualizowane na bieżąco

  System, przeglądarki, środowiska uruchomieniowe i narzędzia dostają aktualizacje, gdy tylko wychodzą. Ostrzeżenia bezpieczeństwa dla zależności, których używam, sprawdzam tego samego dnia.

• Jeden menedżer haseł, MFA wszędzie

  Unikalne generowane hasła, uwierzytelnianie wieloskładnikowe na każdym koncie, które je oferuje, klucze sprzętowe tam, gdzie się da.

• Osobny profil przeglądarki per klient

  Sesje, rozszerzenia i cookies są rozdzielone. Panel administracyjny klienta nigdy nie dzieli profilu z niczym innym.

• Szyfrowane kopie zapasowe

  Kopie mojej własnej pracy są szyfrowane. Twój kod nigdy nie jest kopiowany poza Twoje repozytorium, chyba że tak ustalimy.

• Nikt inny

  Bez podwykonawców, bez asystentów, bez współdzielonych loginów. Osoba z dostępem to osoba, z którą rozmawiasz.

Sekrety i dostępy

• Sekrety mieszkają w platformie

  Magazyny zmiennych środowiskowych i sekretów, nigdy w kodzie, nigdy w czacie z modelem, nigdy na zrzucie ekranu. Lokalne sekrety leżą w plikach poza kontrolą wersji.

• Najmniejsze uprawnienia, Twoje konta

  Używam kont, które tworzysz i kontrolujesz, ograniczonych do zadania, osobnych od wszystkich innych. Możesz je odwołać jednym kliknięciem i powinieneś to zrobić, gdy skończymy.

• Produkcja to nie stacja robocza

  Bez dostępu do produkcji z maszyn deweloperskich. Migracje, konfiguracja i poprawki idą przez kod i review, nigdy ręcznie na żywym systemie.

• Zakończenie współpracy

  Na koniec: dostępy oddane, lokalne kopie usunięte, potwierdzenie na piśmie. Jeśli chcesz listę tego, do czego miałem dostęp, dostajesz ją.

Jak buduję

• Bramki, których agenci nie ominą. Lint, testy i kontrole bezpieczeństwa uruchamiają się w CI przy każdej zmianie. Człowiek przegląda każdy pull request, także te otwarte przez agenta.
• Nagłówki bezpieczeństwa domyślnie. Content Security Policy bez skryptów inline, nosniff, polityki referrer i uprawnień. Ta witryna jest tak zbudowana; możesz sprawdzić jej nagłówki w przeglądarce.
• Staging przed produkcją. Każda zmiana najpierw działa gdzieś, co nie jest produkcją. Migracje ćwiczę na klonie, potem powtarzam tymi samymi krokami.
• Reakcja na ostrzeżenia tego samego dnia. Gdy luka w zależności staje się publiczna, łatka wychodzi tego samego dnia. Reakcja na React2Shell w pracy, którą mogę pokazać, to jeden przykład.
• Sufity i wyłączniki. Limity zapytań, budżety kosztów z atomową bramką i awaryjny stop na każdej płatnej usłudze. Porzucone żądanie nie powinno kosztować Cię pieniędzy ani danych.
• Minimalne logi, maskowane dane. Logi trzymają to, czego potrzebuje debugowanie, i nic osobistego. Analityka dostaje dane anonimizowane albo zamaskowane. Kopie i odtwarzanie do punktu w czasie są ustawione i przetestowane, nigdy zakładane.
• Poczta, której nie da się podrobić. Moja domena publikuje SPF z twardym odrzuceniem, DKIM i DMARC z polityką reject. Darmowy test SPF, DKIM i DMARC pokaże, jak wygląda Twoja.

Ta witryna

Działa na Cloudflare Workers z Content Security Policy, która zabrania skryptów inline, bez skryptów firm trzecich i bez CDN-ów. Analityka to PostHog w UE, ładowany przez własne proxy, bez cookies i z każdym polem zamaskowanym w nagraniach sesji. Panele administracyjne są za Cloudflare Access. Kod głównej strony i skilli dla agentów jest publiczny na GitHubie. Co zbieram i po co, opisuje polityka prywatności.

Zgłoś lukę

Znalazłeś coś na stronie albo w narzędziu pod ciunkos.com? Napisz do mnie albo skorzystaj z pliku security.txt (RFC 9116). Odpowiadam w 24 godziny w dni robocze, a poprawka idzie tak szybko, jak problem na to zasługuje. Nie ma programu bug bounty. Proszę nie testować systemów, które nie są moje, i nie dotykać cudzych danych; dowód na własnym koncie w zupełności wystarczy. Publiczne podziękowanie, jeśli chcesz.

Doświadczenie ze zgodnością

• CASA Tier 2

  Prowadziłem Cloud Application Security Assessment (oparte na OWASP ASVS) dla produktu zintegrowanego z Google Workspace i właśnie przechodzę ponowną ocenę.

• RODO w praktyce

  Umowy powierzenia, rejestry czynności, minimalizacja danych, limity retencji i procesy usuwania wdrożone w produktach, które zbudowałem.

• Ankiety bezpieczeństwa kupujących

  SSO, SCIM, logi audytowe i odpowiedzi, o które pytają kupujący z dużych firm, dowiezione w produktach, które musiały je przejść. Fakty o mnie są w centrum zaufania.