Безопасность

Как мы защищаем ваши данные

• Весь трафик шифруется по HTTPS, а наша база данных и файловое хранилище, оба в Cloudflare, шифруют данные при хранении.
• Данные карты никогда не попадают к нам: платёж принимает Dodo Payments, наш продавец записи (merchant of record).
• Уведомления о платежах проверяются по подписи, а статус каждого платежа мы получаем из Dodo Payments, а не доверяем браузеру.
• Коды входа хранятся только в виде хешей, а истёкшие сессии и коды удаляются ежедневно.
• Нашу базу данных можно восстановить на любой момент за последние 30 дней.

Как мы защищаем ваш аккаунт

• Вы входите с помощью кода из письма или через Google, поэтому утекать нечему: пароля нет.
• Каждый код действует один раз, 10 минут, с 5 попытками. Для запроса кода нужна проверка на ботов, а число запросов ограничено.
• Ваш cookie сессии имеет флаги HttpOnly и Secure, поэтому скрипты страницы не могут его прочитать, а передаётся он только по HTTPS. Выход из аккаунта завершает сессию.
• В тарифе Business владелец решает, кто занимает место, и может удалить место в любой момент.
• MCP-клиенты подключаются через OAuth 2.1 с вашего согласия. Их токены работают только с MCP-сервером MotionVideo, а его инструменты доступны только для чтения.

Как мы защищаем сайт

• Загруженные изображения проверяются по содержимому, а не по имени: только PNG, JPEG и WebP в пределах ограничения размера, и никогда SVG.
• Каждое спонсорство, вакансия и заявка проверяются перед публикацией.
• Число отправок форм и загрузок ограничено для каждого IP-адреса.
• Открыть инструменты модерации может лишь небольшой список учётных записей администраторов.
• Исходный код сайта открыт на GitHub, поэтому любой может посмотреть, как он работает.

Сообщить об уязвимости

Если вы нашли проблему безопасности, сообщите о ней конфиденциально через GitHub Security Advisories или напишите на hello@motionvideo.xyz. Пожалуйста, дайте нам время на исправление, прежде чем рассказывать о проблеме, и не обращайтесь к чужим данным во время тестирования.