Sikkerhet og tillit

Markedsføring handler om tillit. Derfor er TOZINTEL bygget med sikkerhet og ærlighet som grunnmur – ikke som et tillegg.

Kontoer og tilgang

• Passord lagres med moderne, langsom hashing (bcrypt/argon2 via PHP password_hash). Vi kan ikke se passordet ditt.
• Innlogging er beskyttet mot gjettangrep med hastighetsbegrensning per IP og e-post.
• Når du bytter passord, logges alle andre økter ut automatisk.
• Åtte roller (eier, administrator, markedssjef, innholdsprodusent, godkjenner, salg, analytiker, leser) håndheves på serveren for hver handling.
• Hvert arbeidsområde er isolert. Alle spørringer filtreres på arbeidsområdet, og tester verifiserer at ingen kan lese andres data.

Data

• All trafikk går over HTTPS med HSTS.
• Integrasjonsnøkler (WordPress-passord, webhook-hemmeligheter) krypteres med AES-256-GCM før lagring.
• API-nøkler lagres bare som SHA-256-hash og vises kun én gang.
• Trafikkmåling er cookiefri og lagrer ingen IP-adresser.

Applikasjonen

• Streng Content Security Policy med nonce, CSRF-beskyttelse på alle skjemaer, og ingen innebygde skript fra tredjeparter.
• All tekst – også fra AI – rendres gjennom en egen, sikker Markdown-motor som escaper HTML.
• Når TOZINTEL henter nettsider (SEO-revisjon, konkurrenter, merkevareanalyse), sjekkes hver adresse og hver videresending mot interne nettverk (SSRF-beskyttelse).
• Webhooks fra TOZINTEL signeres med HMAC-SHA256, og webhooks fra Stripe verifiseres med signatur og tidsstempel.
• Publiseringer reserveres før de sendes, slik at et brudd underveis aldri gir dobbeltpubliseringer.

Drift

• Jobbkøen er lagret i databasen, og planlagte oppgaver overlever omstart.
• Aktivitetslogg for sensitive handlinger: innlogging, rolleendringer, sletting, eksport og betaling.
• Offentlig driftsstatus på /status.

Ansvarlig avsløring

Har du funnet en sårbarhet? Kontakt oss via kontaktskjemaet. Vi svarer raskt og krediterer gjerne.