Vad vi har. Inte vad vi hoppas ha.
Rollbaserad åtkomst. Granskning av känsliga ämnen inbyggd i arbetsflödet, inte påklistrad. Källkontext, konfidens, konflikter, användningsmätning och leverantörsredovisningar förblir synliga där produkten stöder dem. Det vi inte kan hävda ännu, hävdar vi inte.
Säkerhetskritiska lager körs på hanterade tjänster snarare än egen infrastruktur. Varje leverantör ansvarar för sitt eget lager. Specifika leverantörsnamn och DPA-villkor finns tillgängliga innan avtal.
Autentisering
Autentisering och sessionshantering
Autentisering, sessioner och organisationsmedlemskap delegeras till en hanterad identitetsleverantör. ErmisAI lagrar eller hanterar inte råa sessionsuppgifter.
Fakturering
Fakturering och prenumerationslivscykel
Betalningshantering, prenumerationsstatus och checkout-flöden körs genom en hanterad faktureringsleverantör. Kortdata rör aldrig ErmisAI:s servrar.
Databas & lagring
Primär databas & objektlagring
Applikationstillstånd, tenantdata och redaktionella poster ligger i en hanterad Postgres-cluster i EU (Helsingfors, Finland); uppladdade medier och payload-arkiv ligger i värdplattformens objektlagring, där arkiven hålls under privat ACL. Säkerhetskopior, failover och kryptering i vila hanteras av leverantörerna.
Cache och rate limiting
Rate limiting och transient state
In-memory-state för rate limiting, lås i feed-bearbetning och kortlivade workflow-flaggor. Ingen beständig känslig data lagras här.
Compute, hosting & edge
Beräkning, hosting, edge-leverans & objektlagring
Applikationsberäkning, routing, edge-CDN och objektlagring körs på en hanterad värdplattform (beräkning i EU, Stockholm, plus global edge). Nätverksisolering, DDoS-skydd och TLS-terminering är plattformens standardinställningar.
När källor går isär säger utkastet det
Styrelsen röstade enhälligt för att hålla räntorna oförändrade, med hänvisning till avtagande kärninflation.
Beslutet att hålla räntorna oförändrade kom från en splittrad styrelse, enligt initierade källor.
Medierna går isär om röstfördelningen – avvikelsen följer med i utkastet, med hänvisning till båda källorna.
Kontroller implementerade i applikationslagret, synliga i den nuvarande kodbasen.
Rollstyrda produktområden
Admin-rutter och tenantens newsroom-rutter separeras på middleware-nivå. Plattformssidans roller för drift skiljs från tenantsidans redaktionella roller. Åtkomst tillämpas på serversidan vid varje begäran.
Verifiering av webhook-signaturer
Webhook-händelser för fakturering och identitet verifieras mot HMAC-signaturer från respektive leverantör innan de behandlas. Återuppspelade eller manipulerade payloads avvisas. Idempotensnycklar förhindrar dubbel behandling av samma händelse.
Hashning av API-nycklar
Tenantens integrationsnycklar lagras som hashade värden med trunkerade, maskade prefix för visning. Hela nyckeln visas endast en gång vid skapandet och kan inte hämtas från plattformen därefter.
Nätverkskontroller för webhook-mål
Utgående webhook-endpoints som anges av tenants valideras mot reserverade och icke-publika adressintervall innan användning. Detta blockerar SSRF-attacker som riktas mot interna nätverksadresser via webhook-leveranssystemet.
Driftposter
Webhook-payloads för fakturering och identitet arkiveras för granskning och incidentutredning. Dessa poster stödjer felsökning utan att enbart förlita sig på externa leverantörers loggar.
Säkerhetssidor överdriver ofta. Detta är saker som den här sidan inte påstår.
Ingen certifiering om den inte publicerats.
ErmisAI innehar inte SOC 2, ISO 27001 eller motsvarande certifieringar i nuläget. Om några erhålls publiceras de uttryckligen. En säkerhetssida är inte en certifiering.
Inget publikt bug bounty-program.
Det finns inget aktivt publikt bug bounty-program. Säkerhetsforskare bör rapportera fynd till säkerhetskontakten. Rapporter granskas; belöningar utlovas inte.
Ingen drifttids-SLA om inte avtalad.
Free-, Plus- och Pro-planerna omfattas inte av någon drifttidsgaranti. Enterprise-avtal kan definiera SLA:er – läs det specifika avtalet.
Inget skydd mot redaktionella AI-fel.
Produkten genererar AI-artiklar. Dessa kan innehålla faktafel, felaktiga attributioner eller ofullständig bevakning. Redaktionell granskning före publicering är en utgångspunkt från grunden, inte ett valfritt steg.
Ingen ersättning för utgivarens rättighetsgranskning.
Säkerhetskontroller hanterar inte innehållslicensiering, attributionsrättigheter eller syndikeringsvillkor. Det är separata juridiska och kommersiella frågor.
Hittat ett säkerhetsproblem?
Rapportera via säkerhetskanalen. Inkludera berörd sökväg, reproduktionssteg och din uppskattade påverkan. Rapporter granskas – det finns inget publikt bounty-program.