보안

이 페이지는 회사에서 Atlas를 승인하는 보안, IT, 법무 검토자를 위한 것입니다. Atlas가 하는 일과 함께, 아직 하지 않은 일도 똑같이 분명하게 밝힙니다.

웹사이트는 여러분이 통제합니다

• Atlas는 소스 코드, 저장소, 서버, 호스팅 계정, 배포 파이프라인에 접근할 수 없습니다. Atlas의 어떤 것도 코드를 배포할 수 없습니다.
• 웹사이트는 서버 코드에서 읽기 전용 전달 토큰으로 게시된 콘텐츠를 가져옵니다. Atlas는 코드나 스크립트를 사이트에 밀어 넣을 수 없습니다.
• 콘텐츠는 코드를 실행할 수 없습니다. 플러그인, HTML 블록, 커스텀 스크립트가 없습니다. 편집자는 개발자가 정의한 형식 있는 필드를 채우고, 컴포넌트가 이를 렌더링합니다. 이는 CMS 기반 사이트가 침해되는 가장 흔한 경로를 제거합니다.
• 사이트는 내장 폴백을 유지하므로 Atlas 장애로 웹사이트가 중단되지 않습니다.

고객 간 격리

• 모든 레코드는 조직, 사이트, 환경에 속합니다. Atlas는 모든 요청에 대해 이 범위를 서버에서 결정하며, 브라우저에서 가져오지 않습니다.
• 데이터베이스는 행 수준 보안으로 동일한 범위를 강제합니다. 애플리케이션의 데이터베이스 역할은 테이블을 소유하지 않으며 이 규칙을 우회할 수 없습니다.
• 미디어 링크와 백그라운드 작업도 같은 범위를 따릅니다.
• 개발과 프로덕션은 콘텐츠, 토큰, 설정이 분리되어 있습니다.

계정과 접근

• 사용자는 Atlas의 싱글 사인온 서비스로 로그인합니다. 접근은 초대로만 가능합니다.
• 역할이 각 사이트에서 각 사용자가 할 수 있는 일을 제한합니다(개발과 프로덕션 참고).
• 민감한 작업(릴리스 승인, 멤버 변경, 데이터 내보내기)에는 해당 사용자의 휴대폰에서 두 번째 확인을 요구할 수 있습니다.
• 사용자를 제거하면 그 사용자의 세션이 즉시 종료됩니다.
• 모든 변경은 수정할 수 없는 감사 로그에 기록됩니다. 조직 관리자가 이를 보고 내보낼 수 있습니다.

토큰과 비밀 값

• 전달 토큰, AI 에이전트 토큰, 웹훅 비밀 값은 한 번만 표시됩니다. Atlas는 토큰의 지문만 저장하므로 Atlas 직원도 토큰을 다시 읽을 수 없습니다.
• 토큰은 하나의 환경으로 범위가 제한되며 언제든 취소할 수 있습니다.
• 사이트 소유자가 추가하는 이메일 비밀번호와 API 키는 암호화되며, 다시 표시되지 않고 로그에 기록되지 않습니다.
• 웹훅은 서명되며(타임스탬프를 포함한 HMAC-SHA256) 공개 HTTPS 주소로만 전달됩니다.

프로덕션 안전

• 모든 새 사이트에서 프로덕션은 꺼져 있습니다.
• 프로덕션은 승인된 서명 릴리스만 제공합니다. 릴리스는 검사를 통과하고 승인 권한이 있는 사람이 승인해야 합니다. AI 에이전트는 절대 승인하거나 게시할 수 없습니다.
• 모든 릴리스는 롤백할 수 있습니다.

악용 방지

• 폼과 챗봇은 Cloudflare Turnstile, 허니팟, 시간 검사, 중복 감지, 요청 제한을 사용합니다.
• 브라우저 엔드포인트는 등록된 웹사이트 출처의 요청만 받습니다.
• 페이지 조회수 집계는 쿠키를 사용하지 않으며 IP 주소나 방문자 식별자를 저장하지 않습니다.

AI

• AI 에이전트는 하나의 개발 환경과 사용자가 부여한 권한으로 제한된 토큰을 사용하여 MCP로 연결합니다. 셸, 데이터베이스, 파일, 웹 가져오기 도구는 없습니다.
• 챗봇의 AI는 사이트에 게시된 콘텐츠만으로 답하며, 그 콘텐츠를 지시가 아닌 데이터로 취급하도록 지시되어 있습니다.

아직 하지 않은 것

이 내용은 저희에게서 직접 들으시는 편이 낫다고 생각합니다.

항목	상태
독립적인 침투 테스트	수행하지 않음
인증(SOC 2, ISO 27001)	없음
데이터 상주 지역 선택	미정. 계약 전에 문의하세요
데이터 보존 및 삭제 기간	미정
자체 ID 공급자를 통한 싱글 사인온(SAML/OIDC)	제공되지 않음
가동 시간 보장(SLA)	서비스를 프로덕션에서 측정하기 전까지는 없음
특정 시점 데이터베이스 복구	제공되지 않음. 일일 백업이 계획되어 있음

취약점 신고

security@orbisai.ae로 이메일을 보내 주세요. 재현 단계를 포함하고 다른 고객의 데이터에 접근하지 마세요. 신고를 접수했음을 알려 드리고 진행 상황을 계속 공유하겠습니다. security.txt에도 같은 정보가 있습니다.