Bezpečnost

Náš bezpečnostní model v jedné větě: na serveru není nic, co by bylo možné napadnout. Vše níže lze ověřit přímo z vašich DevTools.

Architektura

Generátor je statická jednostránková aplikace hostovaná na Cloudflare Pages: žádné uživatelské účty, žádná autentizace a žádná backendová kódová cesta kdekoli v procesu generování. Každá operace generování, kódování, skenování a renderování QR probíhá výhradně ve vašem prohlížeči. Vedle něj běží jeden malý serverless endpoint, který tu raději uvádíme, než abychom ho skrývali: /api/contact (kontaktní formulář, který uloží, co odešlete, do Cloudflare D1 a pošle nám to e-mailem). Nevolá se při vytváření QR kódu; kontrola bezpečnosti URL je samostatný produkt na check.qr.abundera.ai. Zkontrolovat, zda je QR kód bezpečný

Model hrozeb

Protože generátor neshromažďuje, neukládá ani nepřenáší žádná uživatelská data (oba výše uvedené endpointy zpracovávají pouze to, co jim výslovně odešlete), nejběžnější hrozby webových aplikací — krádež přihlašovacích údajů, únik databáze, únos relace, server-side injekce — se na něj nevztahují. Zbývající útočná plocha je statický balík prostředků (HTML, CSS, JavaScript) podávaný z našeho originu. Navrhujeme s předpokladem:

Content Security Policy — podle direktiv

Politika níže se načítá z nasazeného souboru _headers při sestavení této stránky, takže se nemůže odchýlit od toho, co posílá edge. Ověřte ji v hlavičkách odpovědi jakéhokoli požadavku.

Content-Security-Policy:
  default-src 'self';
  script-src 'self' https://abundera.ai 'wasm-unsafe-eval' https://challenges.cloudflare.com;
  worker-src 'self' blob:;
  style-src 'self' 'unsafe-inline' https://abundera.ai;
  font-src 'self';
  img-src 'self' data: blob: https:;
  connect-src 'self' https: https://challenges.cloudflare.com;
  frame-src 'self' https://challenges.cloudflare.com;
  frame-ancestors 'none';
  base-uri 'self';
  form-action 'self'

Co nám každá direktiva umožňuje a kde dělá kompromisy:

Co CSP nedokáže

CSP omezuje, odkud prohlížeč načte kód. Nekontroluje, co načtený kód dělá. Kdyby byl náš origin kompromitován, první položka modelu hrozeb, skript útočníka by běžel se stejnými oprávněními jako náš, včetně výše uvedených povolení connect-src a img-src. Naše obrana proti tomu stojí před CSP: nasazení probíhají přes jeden účet Cloudflare se zúženými tokeny, názvy souborů prostředků jsou hashovány podle obsahu, takže vyměněný soubor změní každou URL, která na něj odkazuje, a service worker ukládá do cache pouze same-origin odpovědi GET. Manifest popisuje web tak, jak je dodáván. Není to tvrzení, že žádná webová stránka nikdy nemůže nikam poslat data, a raději bychom, abyste nás drželi u tohoto užšího, ověřitelného tvrzení.

Různé CSP politiky se vztahují na /bio/* (uvolněný img-src pro avatary zadané uživatelem) a /embed/* (uvolněný frame-ancestors pro záměrné vkládání). Obě jsou zdokumentovány v site/_headers.

Transportní a rámovací hlavičky

Service worker

Náš service worker (site/sw.js) ukládá do cache pouze same-origin prostředky. Obslužná rutina fetch explicitně odmítá cross-origin požadavky a metody jiné než GET — logiku si můžete přečíst v souboru /sw.js (zdroj je dodáván dostatečně neminifikovaný, aby šel sledovat). Zápisy do cache jsou zabaleny v event.waitUntil(), takže nemohou být zahozeny uprostřed navigace.

Sanitace vstupů

Každá renderovací cesta přijímající uživatelský vstup s ním zachází jako s nedůvěryhodným textem:

Načítání obrázků z jiného originu

Když uživatel vloží URL https: jako foto vCard nebo logo, prohlížeč ji načte s ohledem na CORS a seznam povolených img-src v naší CSP. Obrázek se renderuje do canvasu. Nikdy se nestane živým DOM, nikdy nespustí jako kód a nikdy nedosáhne našeho originu — načtení probíhá prohlížeč → vzdálený obrázek a výsledek je vykreslen na straně klienta. Útočník kontrolující vzdálenou URL obrázku může sledovat, že URL byla načtena (řádek záznamu na jeho vlastním serveru), ale nemůže z naší stránky nic exfiltrovat.

Subresource Integrity (SRI)

Veškerý JavaScript a CSS, který dodáváme, je same-origin. Nenačítáme skripty ani styly třetích stran, takže SRI hashe nejsou relevantní. Pokud kdy načteme prostředek třetí strany, přibalíme k němu atribut SRI integrity a zdokumentujeme proces aktualizace hashe na této stránce.

Nahlášení zranitelnosti

Pokud odhalíte bezpečnostní problém ovlivňující Abundera QR — v našem kódu, nasazení nebo závislosti, kterou dodáváme — prosím nahlaste jej soukromě na security@abundera.ai. Snažíme se provést třídění do 72 hodin. Můžete nás také kontaktovat prostřednictvím kontaktních údajů v souboru /.well-known/security.txt.

Zatím žádný bug bounty

V současnosti nenabízíme placené odměny, ale každá potvrzená platná zpráva dostane uznání v changelogu a naše veřejné poděkování.

Ověřte cokoli z výše uvedeného

Každé tvrzení na této stránce lze vyvrátit z DevTools vašeho prohlížeče bez toho, abyste nám museli důvěřovat:

Kontakt

Bezpečnostní oznámení: security@abundera.ai

Poslední aktualizace: 2026-09-03. Příští přezkum: 2026-12-03.