Keamanan Semaya

1. Prinsip

• Fail closed bila session, scope, signature, credential, atau provider belum terverifikasi.
• Pisahkan tenant, actor, role, cabang, dan operasi pada authorization boundary.
• Simpan nilai bisnis pada database dan gunakan waktu domain berpresisi milidetik.
• Jangan simpan raw secret, token, password, atau credential pada log dan evidence.

2. Semaya Cloud

Cloud dirancang memakai kontrol session, Origin, CSRF, rate limit, encryption, audit, backup, queue, dan pemisahan tenant. Status setiap kontrol harus dibuktikan sebelum route diaktifkan.

3. Self-host

Pembeli mengelola host, patch sistem operasi, firewall, TLS, backup, database, credential, akses administrator, monitoring, dan pemulihan. Dokumentasi Semaya tidak menggantikan operasi keamanan pembeli.

4. Integrasi dan AI

Provider tetap mati tanpa konfigurasi lengkap. Webhook diproses setelah signature verification dan durable receipt. Output AI memerlukan policy dan human review sesuai risiko.

5. Pelaporan kerentanan

Kirim laporan dengan langkah reproduksi minimum, dampak, route, dan waktu ke kontak Semaya. Jangan mengakses data pihak lain, melakukan denial of service, atau memublikasikan detail sebelum koordinasi.

6. Status assurance

Halaman ini tidak menyatakan sertifikasi, audit independen, pentest, uptime, atau bebas risiko yang belum mempunyai evidence. Evidence assurance akan diterbitkan hanya setelah review yang sesuai.