Bezbednost i podaci

API ključ

• Držite ključ na serveru kad god možete: Next.js serverske komponente i server akcije, Astro build ili API rute, PHP, serverless funkcije. Ključ u promenljivoj okruženja (PROPERTIO_API_KEY), nikad u git-u.
• Ključ u browseru (čist JS, widget, asistent) je javan: svako ga vidi u kodu stranice. Prihvatljivo je jer ključ daje samo ono što sajt i inače prikazuje (aktivni objavljeni oglasi) i pravo slanja upita, ali tada:
  • agencija podešava dozvoljene sajtove, da tuđi sajt ne bi mogao da ga koristi iz browsera;
  • za sajt koji samo prikazuje oglase tražite ključ samo sa opsegom public:read.
• Ključ ne šaljite u URL-u (?key=): završava u logovima, istoriji i Referer zaglavljima. Samo x-api-key.
• Ako ključ procuri: napravite novi, pustite sajt sa njim, opozovite stari (API ključevi).
• Ključ ne daje pristup aplikaciji, CRM-u ni podacima klijenata: samo javne podatke sajta i slanje upita.

Šta API otkriva

Javni API vraća samo aktivne oglase objavljene na sajt, profil agencije i agente (ime, telefon, email). Nikad ne vraća interne beleške, vlasnike nekretnina, klijente, upite ni podatke drugih agencija. Svaka agencija je odvojena: ključ jedne agencije ne može da pročita ništa od druge.

Lični podaci posetilaca

Upiti, zahtevi za pokazivanje i asistent prenose lične podatke (ime, telefon, email, poruka):

• šaljite consent: true samo kada je posetilac zaista označio saglasnost, uz link na politiku privatnosti agencije;
• ne logujte tela zahteva na svom serveru; ne čuvajte kopije upita na sajtu ako vam ne trebaju;
• podaci se čuvaju u Propertiju, kod agencije, koja je rukovalac podacima.

Potpisani linkovi slika

Fotografije se služe samo preko potpisanih linkova koji ističu (24 h u API-ju, 30 dana u feedovima i webhookovima). Istekao link vraća 410, izmenjen 403. Linkove ne čuvajte trajno i ne kopirajte slike na drugi server bez dogovora sa agencijom (vodeni žig, autorska prava fotografa). Detalji: Slike i potpisani linkovi.

Limiti

Limiti po IP adresi i ruti štite API od zloupotrebe (detalji u Greške, limiti, paginacija). Za sajt sa velikim prometom keširajte odgovore; za izuzetke se javite.

Webhookovi i feedovi

• Proveravajte potpis svakog webhooka i odbijajte stare događaje (Provera potpisa).
• Token feeda je lozinka: ko ima link, vidi sve oglase u feedu.

Prijava ranjivosti

Ako pronađete bezbednosni problem, pišite na info@propertio.rs sa naslovom „Bezbednost“ i ne objavljujte detalje dok ga ne ispravimo. Ne testirajte na tuđim podacima i ne opterećujte produkciju; za probe tražite pristup test okruženju.