Punti chiave
- I dati di ogni ristorante sono separati all'interno del database stesso, non solo nell'app.
- Le password sono sottoposte a hash con scrypt; i tentativi falliti ripetuti bloccano l'account per 15 minuti.
- Le sessioni si rinnovano a ogni aggiornamento, e una sessione riutilizzata chiude l'intera catena di accesso.
- I record di ordini, contanti, punti e audit sono in sola aggiunta.
Ogni ristorante nel proprio spazio
Tutti i ristoranti funzionano su un'unica piattaforma, ma è il database a imporre la separazione. Ogni tabella dei ristoranti ha la sicurezza a livello di riga attivata e forzata, e ogni richiesta viene eseguita in una transazione impostata su un solo ristorante. L'account usato dall'applicazione non può aggirare queste regole.
Due ruoli interni possono oltrepassarle per compiti circoscritti: i processi in background, che possono soltanto elencare quali ristoranti sono attivi prima di svolgere il loro lavoro ristorante per ristorante, e il centro di controllo del team SCALE, che non ha accesso agli indirizzi dei clienti, alle posizioni degli ordini, agli hash delle password né ai registri di audit dei ristoranti.
Accesso e password
- Le password hanno da 8 a 128 caratteri e sono memorizzate come hash scrypt con un salt casuale; vengono confrontate in tempo costante.
- Cinque password errate bloccano l'account per 15 minuti. Il tentativo di accesso a un account inesistente richiede lo stesso tempo, così non rivela quali account esistono.
- I tentativi di accesso sono limitati anche per indirizzo nell'arco di 15 minuti: 10 per il personale, 60 per i clienti, 5 nuove registrazioni di clienti. I conteggi sono condivisi da tutti i server.
- I codici di verifica hanno 6 cifre, scadono dopo 10 minuti e consentono un numero limitato di tentativi.
- La protezione dai bot di Cloudflare può essere attivata per l'accesso e per l'invio degli ordini.
Sessioni che non possono essere riutilizzate
Un accesso fornisce un token di accesso di breve durata (15 minuti per impostazione predefinita) e un token di aggiornamento. Ogni aggiornamento sostituisce il token di aggiornamento con uno nuovo. Se un token vecchio viene usato di nuovo, l'intera catena di sessioni viene chiusa, il che impedisce di usare a lungo un token rubato.
Ogni richiesta verifica inoltre che la sessione sia ancora attiva, quindi rimuovere un membro del personale, cambiarne la password o ridurne il ruolo lo disconnette ovunque all'istante. I cookie della console non possono essere letti dagli script della pagina e non vengono inviati da altri siti.
Ruoli con privilegi minimi
L'accesso si basa su 29 permessi, dalla lettura degli ordini alla conferma dei contanti o alla gestione del personale. Il titolare può creare ruoli con qualsiasi combinazione di permessi, e il personale può essere limitato a una sola sede. Nessuno può concedere un permesso che non possiede, i ruoli predefiniti non possono essere modificati e l'ultimo titolare attivo non può essere rimosso.
La console nasconde ciò che un ruolo non può usare, ma solo per chiarezza: il server verifica permesso, sede e appartenenza a ogni azione.
Record che non possono essere riscritti
I cambi di stato degli ordini, il registro dei punti, i movimenti di magazzino, lo storico dei prezzi e il registro di audit sono in sola aggiunta. Il database rifiuta qualsiasi modifica o eliminazione, quindi le correzioni si fanno aggiungendo una nuova voce visibile.
Rispetto dei dati dei clienti
- La posizione per gli ordini viene rilevata solo mentre l'app è aperta, con il consenso del cliente, e viene eliminata dopo 180 giorni.
- I clienti possono eliminare il proprio account dal sito o dall'app. Indirizzi, posizioni, dispositivi, notifiche e password vengono rimossi e il profilo viene anonimizzato.
- Per impedire che la stessa persona richieda di nuovo le offerte per i nuovi clienti, vengono conservate solo impronte protette del suo telefono e della sua email.