Traktujemy ochronę Twoich danych i pieniędzy priorytetowo. Oto, jak dbamy o ich bezpieczeństwo.
Hasła przechowujemy wyłącznie w postaci zaszyfrowanego skrótu (hash) — nigdy w postaci jawnej. Tokeny aktywacji konta i resetu hasła trzymane są jako hash SHA-256; surowy token trafia tylko do Twojej skrzynki e-mail.
Logowanie odbywa się przez podpisane kryptograficznie tokeny JWT przechowywane w cookies httpOnly — niedostępnych dla JavaScript, co chroni przed atakami XSS.
Cała komunikacja z serwisem odbywa się wyłącznie przez HTTPS.
Płatności obsługuje licencjonowana krajowa instytucja płatnicza Tpay (Krajowy Integrator Płatności S.A.) metodą BLIK. Nie przechowujemy danych płatniczych — w bazie zapisujemy jedynie potwierdzenia transakcji (status, kwota, data).
Aplikacja jest podzielona na odseparowane mikroserwisy. Komunikacja wewnętrzna między nimi jest chroniona kluczami API i niedostępna z zewnątrz.
Operacje zmieniające role, uprawnienia i członkostwo w grupach są zapisywane w dzienniku audytu. Dostęp do danych grupy mają wyłącznie jej członkowie.