1. Шифрование в передаче

Все соединения с сайтом, кабинетом, API и CDN идут по TLS 1.3 с обменом ключами ECDHE и прямой секретностью. TLS 1.2 оставлен только для старых Smart TV с набором шифров AEAD, версии ниже отключены. Домены опубликованы в списке HSTS preload, загрузка исходников из кабинета идёт по тому же каналу с проверкой контрольной суммы каждого блока.

2. Шифрование при хранении

Исходники, транскодированные версии, базы данных и резервные копии зашифрованы AES-256 по схеме envelope encryption: каждый объект получает свой ключ данных, который в свою очередь зашифрован мастер-ключом из KMS. Мастер-ключи ротируются каждые 90 дней, доступ к KMS имеют только сервисные учётные записи конвейера транскодирования.

3. Ключи DRM и токены воспроизведения

Сегменты шифруются в CENC (CTR) и CBCS, ключ контента уникален для каждого урока.
Лицензионный сервер Widevine, FairPlay и PlayReady выдаёт ключ только плееру с действующим токеном сессии, подписанным секретом школы.
Токен содержит ID ученика, домен встраивания, лимит устройств и срок жизни 15 минут. Ссылки на сегменты без валидной подписи получают ответ 403.
Водяной знак накладывается на стороне клиента поверх защищённого слоя, а на тарифе «Академия» дополнительно вшивается в сегменты на edge-узле (A/B-разметка), что позволяет восстановить ID даже после перекодирования копии.

4. Дата-центры

Основные площадки расположены в Москве и Санкт-Петербурге в дата-центрах уровня надёжности Tier III с резервированием питания и охлаждения N+1, круглосуточной охраной и контролем доступа по биометрии. Холодный архив исходников хранится в третьей площадке уровня Tier IV. Персональные данные граждан РФ не покидают территорию России.

5. Сеть и CDN

Фильтрация DDoS-атак уровней L3-L7 на границе сети и на каждом edge-узле CDN.
WAF перед API и кабинетом, ограничение частоты запросов на вход и выдачу лицензий.
Сегментация: конвейер транскодирования, лицензионный сервер и базы данных находятся в изолированных сетях без прямого доступа из интернета.
Edge-узлы хранят только зашифрованные сегменты и не имеют доступа к ключам контента.

6. Доступ сотрудников

Инженеры получают доступ к продуктиву по принципу минимальных привилегий через единый вход с аппаратными ключами FIDO2. Каждая сессия записывается, доступ к данным конкретной школы возможен только по её обращению в поддержку и с отметкой в журнале аудита, который школа видит в своём кабинете. Сотрудники проходят проверку при найме и ежегодное обучение по безопасности.

7. Резервирование и восстановление

Базы данных реплицируются между площадками в Москве и Санкт-Петербурге, точка восстановления (RPO) не более 15 минут, время восстановления (RTO) не более 4 часов. Исходники хранятся в трёх копиях на двух площадках. Восстановление из резервных копий проверяется учениями раз в квартал.

8. Комплаенс

Обработка персональных данных по 152-ФЗ, меры защиты по требованиям Постановления Правительства РФ № 1119 и приказа ФСТЭК № 21.
Для учеников из ЕС: обработка по GDPR, соглашение DPA со стандартными договорными условиями по запросу школы.
Система управления информационной безопасностью построена на контролях ISO/IEC 27001 и ежегодно проверяется внешним аудитором.
Тестирование на проникновение независимой командой не реже раза в год и после крупных изменений архитектуры. Сводный отчёт доступен клиентам тарифа «Академия» под NDA.

9. Реагирование на инциденты

Дежурная команда работает круглосуточно. О подтверждённом инциденте, затрагивающем данные школы, мы уведомляем её администраторов в течение 24 часов, а при утечке персональных данных также Роскомнадзор в сроки, установленные 152-ФЗ, и надзорный орган ЕС в течение 72 часов, если затронуты субъекты из ЕС. Статус сервиса и плановые работы публикуются в кабинете.

10. Ответственное раскрытие уязвимостей

Если вы нашли уязвимость в StreamDock, напишите на security@streamdock-app.ru. Опишите шаги воспроизведения, затронутый адрес или компонент и возможное влияние.

Что входит в программу

streamdock-app.ru и его поддомены, API, кабинет школы, встраиваемый плеер и JS SDK.
Логика выдачи лицензий DRM, подписи токенов и лимита сессий.

Правила

Тестируйте только на собственном аккаунте школы, в том числе пробном. Не обращайтесь к чужим видео и данным учеников.
Не проводите DDoS, социальную инженерию и физические проверки площадок.
Дайте нам 90 дней на исправление до публичного раскрытия.

Что мы обещаем

Подтверждение получения отчёта в течение 2 рабочих дней, первичная оценка в течение 5 рабочих дней.
Отказ от претензий к исследователю, который действовал добросовестно и в рамках этих правил.
Благодарность на этой странице и вознаграждение для подтверждённых уязвимостей, размер которого зависит от оценки по CVSS.

Архитектура безопасности