Bezpieczeństwo, architektura i zgodność

1. Izolacja danych wielu klientów (Row Level Security)

Każde konto firmowe oraz każde podkonto klienta w panelu agencyjnym działa w osobnym środowisku logicznym (`workspace`). W bazie PostgreSQL 16 wszystkie tabele przechowujące kontakty, grupy, segmenty, kampanie, szablony, zdarzenia sklepów, domeny nadawcze i logi audytowe są objęte wymuszonymi politykami Row Level Security (`FORCE ROW LEVEL SECURITY`).

Zapytania wykonywane w kontekście sesji użytkownika mają dostęp wyłącznie do wierszy przypisanych do aktywnego workspace, dla którego użytkownik posiada potwierdzoną rolę właściciela, administratora, edytora lub obserwatora.

2. Uwierzytelnianie, hasła i ochrona sesji

• Hashowanie haseł scrypt: hasła nigdy nie są zapisywane w postaci jawnej ani odwracalnej; używamy kryptograficznego algorytmu `scrypt` z unikalną solą dla każdego rekordu.
• Dwuskładnikowe logowanie 2FA (TOTP): każde konto może włączyć weryfikację dwuetapową zgodną z Google Authenticator, Microsoft Authenticator oraz 1Password wraz z jednorazowymi kodami zapasowymi.
• Ochrona sesji i mutacji: tokeny sesyjne są przekazywane wyłącznie w ciasteczkach `HttpOnly` i `Secure`, a w bazie przechowywany jest jedynie ich skrót SHA-256. Wszystkie żądania modyfikujące dane weryfikują zgodność nagłówków `Origin` oraz `Host`.

3. Bezpieczeństwo transportu e-mail i Amazon SES

Transport wiadomości transakcyjnych (potwierdzenia rejestracji, reset hasła, zaproszenia do zespołu) jest odseparowany od transportu kampanii marketingowych i automatyzacji e-commerce.

Każda domena nadawcza klienta przechodzi weryfikację 3 kluczami DKIM CNAME w Amazon SES, dedykowaną domeną zwrotów `bounce.twojadomena.pl` (MX + SPF) oraz rekordem DMARC. Powiadomienia zwrotne o twardych odbiciach (`Bounce`) i zgłoszeniach spamu (`Complaint`) spływają z Amazon SNS przez kryptograficznie weryfikowane webhooki i natychmiast wykluczają uszkodzone adresy z dalszych wysyłek.

4. Bezpieczeństwo integracji WooCommerce, IdoSell, Shopify i Next.js

Komunikacja między sklepem internetowym a Mailfly odbywa się wyłącznie po HTTPS. Wtyczka WooCommerce oraz konektor Next.js/React podpisują każdy ładunek sygnaturą HMAC SHA-256 obejmującą znacznik czasu (`timestamp.rawBody`). Serwer odrzuca przestarzałe żądania oraz duplikaty identyfikatorów zdarzeń (`eventId`), co chroni przed atakami typu replay.

Klucze API oraz tokeny Bearer dla IdoSell są wyświetlane właścicielowi tylko raz podczas utworzenia, a w bazie danych zapisywany jest wyłącznie ich skrót kryptograficzny.

5. Rejestr audytowy i zasada dwóch par oczu

Wszelkie istotne operacje w workspace (import kontaktów, usunięcie odbiorcy, zmiana ustawień wypisu, dodanie domeny, utworzenie klucza API, zatwierdzenie kampanii) są trwale odnotowywane w zakładce Audyt wraz z identyfikatorem użytkownika i czasem zdarzenia.

W kontach zespołowych i agencyjnych właściciel może włączyć obowiązkową akceptację kampanii. W tym trybie osoba przygotowująca kreację nie może samodzielnie zatwierdzić ani zaplanować wysyłki bez przeglądu wykonanego przez drugiego uprawnionego członka zespołu.

6. Kopie zapasowe i ciągłość działania

Baza danych oraz zasoby konfiguracyjne są objęte automatycznymi, szyfrowanymi kopiami zapasowymi CMS z kontrolą sum kontrolnych SHA-256 oraz replikacją offsite poza serwer podstawowy. Każde wdrożenie nowej wersji aplikacji przechodzi automatyczne testy kontraktowe, testy autoryzacji oraz sprawdzenie spójności schematu bazy danych przed przełączeniem ruchu.