Biztonság

A NOSEC AI nevében is ez a fő fókusz — íme, konkrétan milyen védelmi rétegekkel dolgozunk.

Prompt-injection védelem

Minden bejövő chat- és email-üzenetet átfuttatunk egy minta-alapú (magyar + angol) szűrőn, ami felismeri a tipikus "hagyd figyelmen kívül az utasításaidat" jellegű manipulációs kísérleteket, mielőtt azok elérnék az AI-modellt.

Rate limiting (túlterhelés-védelem)

• Session-szintű korlát: egy beszélgetés legfeljebb 30 üzenetet küldhet 10 percen belül.
• Endpoint-szintű korlátok: minden API-végpontra külön (jellemzően 10-30 kérés/perc) korlát vonatkozik, az érzékenyebb műveleteknél (pl. bejelentkezés) ennél is szigorúbb.

Titkosítás nyugalmi állapotban

A boltok API-kulcsait (pl. webshop-integrációkhoz) titkosítva tároljuk (Fernet/AES-128), nem nyílt szövegként.

SSRF-védelem

Minden olyan funkciónál, ahol a rendszer felhasználó által megadott URL-t tölt le (pl. az élő demó weboldal-beolvasása), kifejezetten letiltjuk a belső hálózati címek (localhost, privát IP-tartományok) elérését — így a funkció nem használható arra, hogy valaki a saját belső infrastruktúránkat próbálja meg feltérképezni.

Biztonsági HTTP-fejlécek

• Content-Security-Policy (CSP) — korlátozza, honnan tölthető be script/stílus
• Strict-Transport-Security (HSTS) — kikényszeríti a titkosított kapcsolatot
• X-Frame-Options, X-Content-Type-Options, X-XSS-Protection, Referrer-Policy, Permissions-Policy

Automatikus fenyegetés-riasztás

Egy háttérfolyamat figyeli a gyanús kérésmintázatokat (pl. scannerek, ismételt jogosulatlan próbálkozások) — ha egy adott típusú esemény rövid idő alatt szokatlanul sokszor fordul elő, azonnal email-riasztást kapunk, hogy megvizsgáljuk.

GDPR-adattörlés automatizálva

Ha egy bolt előfizetése 90 napnál régebben felfüggesztett állapotban van, a látogatókra vonatkozó személyes adatokat a rendszer automatikusan, végérvényesen törli — nem kell hozzá kézi beavatkozás.

Folyamatos, automatizált biztonsági ellenőrzés

A kódbázis minden változtatásnál automatikusan átmegy:

• Függőség-sérülékenység vizsgálaton (ismert CVE-k a használt csomagokban)
• Statikus kódelemzésen (tipikus biztonsági hibamintákra)
• Titok-szivárgás vizsgálaton (nehogy véletlenül jelszó/API-kulcs kerüljön a kódba)