Безопасность

• Ключи API площадок хранятся только в зашифрованном виде (AES-256-GCM), ключ шифрования версионируется и ротируется. После сохранения видна только маска.
• Изоляция организаций. Данные каждой организации отделены на уровне каждого запроса к базе; объекты чужой организации для сервиса не существуют.
• Роли проверяются на сервере — см. Роли и команда.
• Журнал аудита фиксирует изменения «было → стало».
• Стоп-кран — остановка отправки цен по организации или подключению.
• Деньги хранятся в целых копейках с валютой — без ошибок округления.
• Серверы находятся в России. Обработка персональных данных — по политике конфиденциальности.

Рекомендации

• Выпускайте для RIVALTA отдельный ключ API, не используйте его в других сервисах.
• Давайте ключу только нужные права — мастер подключения подскажет, каких не хватает.
• При увольнении сотрудника удалите его из организации.