Bezpečnost a transparentnost
Děláme nástroj o bezpečnosti — tak dává smysl být transparentní v tom, jak pracujeme s daty a jak je systém postavený. Bez marketingových frází a bez „military grade enterprise" hvězdiček.
Pokud něco důležitého chybí, napište nám — hello@owlguardscore.com.
Co po vás nesbíráme
Většina trust pages mluví o tom, co všechno hlídají. Začneme tím, co vás nikdy nepožadujeme — protože věci, které nemáme, nemůžeme ztratit.
Hesla k vašim účtům
Nikdy se vás na konkrétní hesla neptáme. Otázky se týkají toho, jak hesla obecně používáte — ne jak konkrétně znějí.
Přístup k bance
Žádné API tokeny, žádný PSD2 access, žádné credentials k internetbankingu. Bezpečnost banky řešíte vy se svou bankou, my jen ukazujeme, co se vyplatí ohlídat.
Sken vašich zařízení
Aplikace neběží ve vašem prohlížeči jako scanner. Nevidí, jaký máte antivirus, jaké aplikace, jaké rozšíření, ani co máte v cookies.
Obsah e-mailů a komunikace
Pokud nám napíšete přes kontaktní formulář, čteme vaši zprávu — to je celé. Žádný IMAP přístup, žádné scanování složek, žádná inbox integrace.
Kontakty, kalendář, lokace
Nepřistupujeme k systémovým povolením prohlížeče. Žádné push notifikace, žádné permission popups, žádný GPS.
Analytický tracking
Žádné Google Analytics, žádný Meta pixel, žádné cookies třetích stran. Nevidíme, kde jste byli předtím ani kam jdete po nás.
Co skutečně ukládáme
Aby test fungoval a šel zobrazit, musíme něco uchovat. Tady je úplný seznam — rozdělený podle účelu.
Aby produkt fungoval
- Vaše odpovědi z dotazníku — vázané na konkrétní verzi otázek, aby se výsledek dal později reprodukovat.
- Výsledné skóre, per-section breakdown a doporučení — to, co vám test ukazuje.
- Pokud zaškrtnete a vyplníte kontakt na konzultaci: jméno a e-mail. Bez zaškrtnutí se neukládá nic identifikujícího.
- HMAC otisk vaší IP adresy (ne plaintext) — slouží jen k tomu, aby někdo nemohl zahltit naše API tisíci submission za hodinu.
- Audit log admin akcí: kdo z našeho týmu kdy co změnil v obsahu dotazníků nebo v poptávkách. Bez vašich osobních údajů.
- Log odeslaných transakčních e-mailů (např. reset hesla pro adminy) — adresa, čas, MessageId z poskytovatele. Bez obsahu zprávy.
Pro analytiku a marketing
Nic. Žádné Google Analytics, žádný Meta pixel, žádné cookies třetích stran, žádný session recording. Veřejná část webu funguje bez jediného trackingového cookie.
Formální popis právního základu, doby uchování a vašich práv podle GDPR je v Ochraně osobních údajů.
Jak je systém postavený
Konkrétně, co je v provozu. Každá z těchto vrstev se dá ověřit zvenčí — certifikát, security hlavičky, DNS záznamy — pokud chcete kontrolu.
Hosting v EU (Frankfurt)
Aplikace i databáze běží na AWS v regionu eu-central-1. Vaše data neopouští EU. Pro globální CDN používáme Amazon CloudFront, kde je smluvním základem standardní doložka EU-US Data Privacy Framework.
Šifrovaná komunikace všude
TLS na hraně (CloudFront) i mezi CloudFrontem a aplikací. HSTS s preload submitem do Chrome listu — prohlížeč si pamatuje, že tenhle web smí jen přes HTTPS, i pro úplně první návštěvu.
Databáze v privátní síti
PostgreSQL běží v privátních subnetech bez veřejné IP adresy. Aplikace se k ní dostane jen přes VPC connector. Šifrování at-rest je default (KMS), zálohy s Point-in-Time Recovery.
Origin chráněný před přímým hitem
Provoz musí projít přes CloudFront — přímé hity na původní URL aplikace dostanou 403. Tím pádem všechny obranné vrstvy (WAF, rate-limit, header validace) skutečně fungují.
Striktní Content-Security-Policy
CSP s per-request nonce a strict-dynamic. Žádný inline JavaScript bez podepsaného nonce, žádné externí zdroje mimo whitelist. Cílíme na A+ rating na securityheaders.com.
Vícefaktorová autentizace pro adminy
Každý admin účet má povinné TOTP (Google Authenticator, 1Password, atd.) + backup codes. Bez druhého faktoru se nedostane ani admin sám.
Striktní role matrix
Rozdělené role ADMIN / EDITOR s vynucovaným oddělením oprávnění na úrovni route handleru. Self-protection: admin si nemůže odebrat vlastní roli ani smazat svůj účet (žádný lockout).
HMAC otisk IP, ne plaintext
IP adresu nikdy neukládáme. Pracujeme jen s HMAC-SHA256 otiskem keyovaným tajným klíčem — bez něj nikdo nedokáže zpětně dohledat původní IP, ani když by získal přístup k databázi.
Audit log bez PII
Admin akce jdou do audit logu, ale payloady neobsahují e-maily ani jiné citlivé identifikátory — jen reference (User:id, Submission:id). Forenzika ano, leak surface ne.
Anti-spam ve čtyřech vrstvách
Veřejné formuláře projdou IP rate-limitem, honeypot polem, kontrolou minimální doby vyplnění a per-email throttlem. Útočník neví, která vrstva ho chytila — error response neprozrazuje detail.
Veřejné výsledky přes neuhodnutelný token
URL výsledku obsahuje 256-bitový náhodný token, ne interní ID. Bez znalosti tokenu nikdo k cizímu výsledku nepřistoupí, ani když by uhodl správné číslo v URL.
E-maily se signaturou domény
Transakční pošta jde přes AWS SES s podepsanými DKIM klíči, SPF a DMARC záznamy. Příjemcův mail server pozná, že jsme to opravdu my, ne phishing.
Žádné dlouhodobé AWS klíče v repu
GitHub Actions se autentizuje k AWS přes OIDC — krátkodobé tokeny vystavené pro konkrétní commit. Ukradení repa neznamená přístup k naší infrastruktuře.
Vše jako kód (Terraform)
Celá infrastruktura žije v Terraformu pod kontrolou Gitu. Žádné ruční kliknutí v AWS konzoli, žádný "kdo to tam přidal a kdy". Auditní stopa = git log.
Privacy-first principy
Pravidla, podle kterých rozhodujeme. Když si nejsme jisti, vracíme se sem.
Test lze projít plně anonymně
Žádná registrace, žádné přihlášení. Kontaktní údaje vyplníte jen pokud chcete navázat konzultaci — a i tehdy je to volitelné.
Minimalizace dat by default
Sbíráme jen to, bez čeho test nedává smysl. Když pole nepotřebujeme, ani se na něj neptáme.
Edukace přede strašením
Doporučení vysvětlují, proč na konkrétním kroku záleží — ne aby vás vystrašila. Cílem je porozumění, ne shoda za každou cenu.
Žádný adtech, žádné dark patterns
Žádný newsletter pop-up, který se vrátí potřetí. Žádné CTA, které vypadá jako "Zavřít" ale skrytě souhlasí. Žádné "do you really want to leave?" boxy.
Bezpečnost je v prioritě nad growth hacky
Když vidíme volbu mezi vyšší conversion a vyšším standardem ochrany dat, jdeme tou druhou cestou. Dlouhodobá důvěra je víc než krátkodobý KPI.
Našli jste bezpečnostní problém?
Pokud narazíte na bezpečnostní chybu, špatně nastavenou hlavičku, nebo jakoukoliv vrstvu, která se nechová tak, jak by měla — ozvěte se nám přímo, prosíme, před tím, než to zveřejníte. Dáme vám čas si to v klidu projít a budeme rádi za feedback.
Kontakt: hello@owlguardscore.com — do předmětu prosíme prefix [Security], ať to neztratíme v běžné poště.
Žádný formální bug bounty program zatím neprovozujeme — jsme malý projekt — ale za poctivé nahlášení vám napíšeme zpátky, opravíme to a (s vaším souhlasem) vás zmíníme tady na stránce mezi lidmi, kteří pomohli.
Prosíme: žádné aktivní pentestování v produkci, žádné DoS, žádné hromadné sosání dat. Hlavně neporušujte zákon — i s dobrým úmyslem.
Aktuální stav a limity
Co tahle stránka záměrně netvrdí.
Nejsme certifikovaná autorita. OwlGuard Score není pentestovací firma, akreditovaný auditor ani NÚKIB. Výsledek testu je orientační vodítko, ne formální audit, který byste přiložili k ISO certifikaci.
Sami se průběžně auditujeme. Cca jednou měsíčně si naši infrastrukturu projedeme proti vlastnímu bezpečnostnímu checklistu (rate-limit coverage, secret management, CloudFront enforcement, GDPR procesy). Findings opravujeme veřejně v Gitu — historii commitů si můžete projít.
Produkt je v aktivním vývoji. Některé pokročilé funkce (PDF reporty, AI-generovaná doporučení, vlastní účty pro firmy) jsou na roadmapě, ale zatím nejsou zapnuté. Když to změníme, najdete to tady i v changelogu.
Žádné garance bezpečnosti vašich systémů. Náš test mluví o tom, jaké postupy máte. Skutečnou bezpečnost vašeho e-mailu, banky a zařízení si zajišťujete vy. Doporučení vám ukáží, kde začít — ale nedělají tu práci za vás.