Segurança e SSL

A cifragem HTTPS

O seu portal só abre em HTTPS, no endereço https://votre-nom.lizpack.com. Um endereço introduzido com http:// é redirecionado para https://. O tráfego entre os seus visitantes e o portal é, portanto, cifrado, incluindo mapas e credenciais.

O certificado é emitido pela Let's Encrypt na implementação da instância e depois renovado por nós antes de expirar. Não tem nada para instalar nem para vigiar.

As ligações às bases de dados

O QGIS Desktop, o pgAdmin ou o psql ligam-se diretamente à base de dados, sem passar pelo portal. O servidor da base de dados aceita a cifragem: peça-a no seu software escolhendo o modo SSL require. Os parâmetros de ligação encontram-se na ficha da instância para a base de dados da instância, e na página Bases de dados para uma base de dados dedicada.

O certificado de uma base de dados é emitido pela LizPack e não por uma autoridade pública. Mantenha o modo require: os modos verify-ca e verify-full, que verificam a autoridade, recusarão a ligação.

Segurança dos dados

A segurança dos seus dados divide-se entre o que nós asseguramos e o que o cliente decide. Eis uma e outra parte.

O que nós asseguramos

Cada instância tem os seus próprios serviços: a sua base de dados, o seu espaço de ficheiros, o seu QGIS Server. Nada é partilhado com as instâncias dos outros clientes.
O tráfego dos seus portais e da área de cliente é cifrado.
A palavra-passe da sua conta LizPack nunca é guardada de forma legível: guardamos apenas uma impressão digital, que não permite recuperá-la.
Os números de cartão bancário são introduzidos na Stripe, o nosso prestador de pagamentos. Não passam pelos nossos servidores.
Uma instância suspensa conserva os seus projetos, os seus ficheiros e a sua base de dados durante 60 dias. Antes de qualquer eliminação definitiva, três e-mails avisam-no: 30 dias antes, 7 dias antes e na véspera.

O que depende de si

Alterar a palavra-passe de administração do Lizmap logo na entrada em funcionamento: a inicial é a mesma para todas as instâncias.
Ativar a autenticação de dois fatores na sua conta.
Guardar a sua própria cópia dos seus projetos QGIS e uma exportação regular das suas bases de dados. A área de cliente não propõe restauro.
Conceder a cada membro da equipa apenas as permissões de que necessita, e remover os que deixaram o projeto.
Decidir o que é público no seu portal, mapa a mapa, a partir da administração do Lizmap.

A base de dados de uma instância é acessível a partir da Internet, na sua própria porta: é isso que permite ao QGIS Desktop ligar-se a ela. A sua palavra-passe é a sua única proteção. Não a coloque num projeto partilhado publicamente, nem numa mensagem.

A autenticação de dois fatores

Depois de ativar a autenticação de dois fatores, a sua palavra-passe deixa de bastar para entrar na área de cliente: cada início de sessão pede também um código de 6 algarismos, enviado para o endereço da sua conta. Quem tiver a sua palavra-passe fica à porta.

Abra Definições e, em seguida, o cartão Segurança e privacidade.
No quadro Autenticação de dois fatores, clique em Ativar a autenticação de dois fatores. É enviado um código para o seu endereço.
Introduza-o em Código de verificação e clique em Confirmar. O indicador passa a Ativado.

Iniciar sessão

Depois do seu endereço e da sua palavra-passe, o ecrã Verificação em dois passos indica-lhe para que endereço foi enviado o código. Escreva ou cole o código: o formulário é validado automaticamente ao sexto algarismo. O código é válido durante 10 minutos e aceita 5 tentativas. Para além disso, ou se não chegar, Reenviar o código envia um novo, um minuto após o anterior; o antigo deixa então de ser válido.

Desativar

Na mesma página, Desativar pede a sua Palavra-passe atual e, em seguida, Confirmar a desativação. O início de sessão volta a ser possível só com a palavra-passe.

O código só chega por e-mail. Se perder o acesso à sua caixa de correio, deixará de poder iniciar sessão: escreva ao suporte a partir de outro endereço.

Registo de atividade

O registo de atividade guarda o histórico do que foi feito a partir da sua conta. Abra o menu da sua conta, no canto superior direito, e depois A minha atividade. O mesmo menu mostra as últimas ações em Atividade recente, e Ver tudo leva ao registo completo.

Cada linha indica a ação, o seu resultado, o Endereço IP de onde partiu e a sua data. Encontram-se aí as operações nas suas instâncias (implementação, início, paragem, atualização, eliminação), os carregamentos e eliminações de ficheiros, a subscrição e as faturas, as licenças, a equipa, as bases de dados dedicadas, as alterações de palavra-passe e de perfil, bem como as páginas consultadas.

A pesquisa incide sobre a ação e o endereço IP. Todas, Sucesso e Erros filtram segundo o resultado: um erro é uma ação recusada ou que não foi concluída. Mostrar fixa o número de ações recentes carregadas, de 100 a 10 000; são apresentadas em páginas de 20.

O registo só mostra as suas próprias ações. Cada membro da sua equipa tem o seu: o que faz na sua conta figura no registo dele, não no seu. As entradas não são apagadas com o tempo.

Uma ação que não reconheça, ou um endereço IP desconhecido: altere a sua palavra-passe, ative a autenticação de dois fatores e avise o suporte.