Безопасность, изоляция данных и audit log — по умолчанию

Изоляция

Каждый workspace — отдельный tenant. Ключевые таблицы товаров, листингов, импортов, экспортов и маппингов изолированы по workspace_id.

• Запросы фронтенда идут с явным workspace-контекстом
• Попытки кросс-workspace доступа логируются как отдельное audit-событие
• Один аккаунт может быть в нескольких workspace — данные не смешиваются

Доступ

Вход через Google: бэкенд проводит OAuth authorization-code flow с PKCE и выдаёт короткоживущий access-токен и отдельную HttpOnly refresh-cookie.

• Workspace-роли: owner и member
• Дилеры — отдельная invite-only роль, не члены workspace
• Платформенный админ — отдельный флаг, не зависит от membership

Секреты

Ключи интеграций уровня workspace хранятся в зашифрованном виде с отдельным master-key. API никогда не возвращает сырой ключ — только признак наличия, маскированный суффикс и дату обновления.

Текущий rollout encrypted secret storage охватывает order processor; остальные интеграции переносятся на тот же паттерн поэтапно.

Аудит

Audit покрывает ключевые изменения: настройки, участники, источники данных, маппинги, товары и листинги, атрибуты, импорт/экспорт, медиа и заметки. Запись идёт в той же транзакции, что и бизнес-изменение.

• Чувствительные ключи маскируются в payload централизованно
• Retention: 18 месяцев
• Owner видит все события workspace, member — только свои

Прозрачность

Изменения товаров и листингов фиксируются поле-за-полем, а менеджеры могут оставлять pinned/resolved заметки прямо на товаре. Activity timeline в редакторе варианта объединяет историю изменений и заметки.

Целостность данных

EAN, GTIN, UKTZED и код производителя валидируются общей политикой между бэкендом и фронтендом (GS1-контроль, точная длина, только цифры где нужно). Бэкенд — источник правды и отклоняет невалидные значения.

Значения хранятся как строка, чтобы не терять ведущие нули — это важно для повторной передачи в каналы.

B2B

Партнёрский портал не имеет self-signup. Доступ дилера контролируется allowlist на уровне инстанса канала.

• Один email = один активный инстанс глобально
• Reassign / revoke выполняет supplier, не login flow
• Storefront fail-closed: неактивный или неопубликованный инстанс недоступен

Операционная надёжность

Scheduled sync выполняется отдельным worker-контейнером, а не внутри веб-процесса. Import/export jobs имеют явные статусы, историю запусков и отчёты валидации.