אמון ואבטחה

עמוד אחד עם כל מה שצוות רכש בארגון צריך לראות לפני חתימה. מתעדכן באופן שוטף, וניתן לאימות דרך מקורות עצמאיים (security.txt, sitemap, מדיניות סורקי LLM).

במבט מהיר

דיווח על פגיעויות פעיל

קובץ security.txt לפי תקן RFC 9116 מפורסם בכתובת /.well-known/security.txt. דיווח מתואם לכתובת security@slatech.co.il. אישור קבלה תוך יום עסקים אחד, מיון ראשוני תוך חמישה ימי עסקים.

ניטור וזמינות פעיל

ניטור שגיאות וסשנים בפרודקשן באמצעות Sentry. Browser SDK בכל עמוד בכל אתרי הרשת, ו-.NET SDK בשני ה-API. Replay ו-BrowserTracing מופעלים. שיעור סשנים ללא קריסה: מעל 99.9% (ממוצע נע ל-30 יום).

EU AI Act מודעים

כלי תמיכה בהחלטות מפורסם בכתובת slavin.ai/EU-AI-Act-Checklist. ברוב ההתקשרויות אנחנו פועלים כספק במורד השרשרת, והסיווג והחובות נמסרים לכל התקשרות בנפרד. טקסונומיית הסיכון הפנימית שלנו בנויה לפי מודל הרמות של הרגולציה.

GDPR עומדים

הסכם עיבוד נתונים (DPA) נמסר לפי בקשה. אנחנו ממזערים את המידע האישי הנאסף בטפסים (שם, אימייל ותוכן הפנייה בלבד). מידע מטופסי פנייה נשמר 24 חודשים, אלא אם סוכם אחרת בחוזה. אין רכיבי מעקב פרסומיים בעמודי הפנייה.

כותרות אבטחה פעיל

HSTS (שנה + preload), X-Content-Type-Options nosniff, X-Frame-Options SAMEORIGIN, Referrer-Policy strict-origin-when-cross-origin, ו-Permissions-Policy שמכבה מצלמה, מיקרופון, מיקום ו-FLoC. הכותרות X-Powered-By ו-X-AspNet-Version הוסרו בכל הרשת.

Content Security Policy Report-Only

ה-CSP נמצא כרגע במצב Report-Only בכל הרשת. מעבר למצב אכיפה מתוכנן לכל אתר בנפרד אחרי תקופת ניטור. רשימת ההיתרים מפורסמת בתוך הכותרת עצמה, לשקיפות.

עוגיות וסשנים מוקשח

עוגיות הסשן של ASP.NET מוגדרות Secure; HttpOnly; SameSite=Lax בכל הרשת. אין עוגיות פרסום צד שלישי בעמודים המסחריים. אנליטיקה: Google Analytics ו-Yandex Metrica, שתיהן עם אנונימיזציית IP במקום שבו הדבר נתמך.

איך מדווחים על פגיעות

אם מצאתם בעיית אבטחה:

שלחו פרטים לכתובת security@slatech.co.il. הצפנה אופציונלית ונתמכת לפי בקשה.
תקבלו אישור קבלה תוך יום עסקים אחד.
מיון ראשוני תוך חמישה ימי עסקים.
נעדכן אתכם על לוח הזמנים לתיקון, כולל הקצאת CVE במקרים רלוונטיים.
בהסכמתכם, נציין אתכם ברשימת התודות אחרי שהבעיה תוקנה.

אנא אל תפרסמו את הבעיה בפומבי לפני שאישרנו שהיא תוקנה. לא ננקוט הליכים משפטיים נגד מחקר בתום לב שנעשה בגבולות מדיניות ה-security.txt שלנו.

רשימת תודות

כאן נציין, באישורם, חוקרות וחוקרים שדיווחו לנו על בעיה בדיווח מתואם. נכון להיום הרשימה ריקה: עוד לא קיבלנו דיווח כזה. אם תהיו הראשונים ותרצו שנציין אתכם, כתבו על כך במייל.

מקורות לאימות עצמאי

אותות קריאים למכונה שאפשר לבדוק בלי להאמין לנו על המילה:

/.well-known/security.txt - מדיניות דיווח לפי RFC 9116.
/.well-known/knowledge-graph.json - גרף הישות הארגונית לפי Schema.org.
/sitemap.xml - מלאי הכתובות המלא של האתר.
/llms-full.txt - מדיניות מלאה לסורקי LLM.

עודכן לאחרונה: 2026-06-20 גרסת עמוד: 1.0 מפעילה: SLAtech LTD איש קשר לנושאי אמון: trust@slatech.co.il