Безопасность

Как MyNout защищает твои заметки

Твои заметки личные. Вот что именно мы делаем, чтобы они оставались твоими, без маркетинговых фраз.

Пароли хешируются, а не хранятся
Двухфакторная аутентификация с резервными кодами
Твои данные можно экспортировать и удалить в любой момент

Пароли

Пароли никогда не хранятся. MyNout держит только scrypt-хеш с солью, сравнивает его за постоянное время и ограничивает попытки входа, так что утёкшую базу нельзя использовать, а подбор идёт медленно.

На практике это значит, что украденная копия базы данных не является копией чьего-либо пароля. Сравнение выполняется за постоянное время, поэтому его нельзя прощупать по таймингу, а вход и восстановление пароля ограничены по адресу и по аккаунту, из-за чего перебор становится слишком медленным, чтобы его вообще стоило затевать.

Двухфакторная аутентификация

Включи одноразовые коды на основе времени в любом приложении-аутентификаторе. Каждый код работает только один раз, резервные коды выручат при потере телефона, а секрет 2FA хранится в зашифрованном виде.

Коды одноразовы в пределах своего временного шага, так что код, который кто-то подсмотрит у тебя через плечо, не сработает секундой позже. Восстановление пароля никогда не пропускает второй фактор: после сброса пароля аккаунт всё равно остаётся за твоим приложением-аутентификатором. Резервные коды содержат 80 бит случайности, срабатывают один раз и показываются лишь однажды, чтобы ты успел сохранить их в надёжном месте.

Сессии под твоим контролем

Каждый вход получает собственную сессию, в которой видно устройство, адрес, с которого выполнен вход, и адрес, который используется сейчас. Просматривай их в аккаунте, завершай любую из них, а смена пароля автоматически завершает все остальные.

Сессии хранятся как хеш токена, так что даже утёкшая строка базы не превращается в рабочий вход. Они продлеваются, пока ты ими пользуешься, и сами истекают после тридцати дней тишины, а смена пароля мгновенно завершает все остальные сессии.

Запертые заметки

Защити отдельную заметку PIN-кодом. Её содержимое не показывается, пока PIN не подтверждён, ни в приложении, ни в общих ссылках, ни в истории версий, так что дневник останется приватным даже на общем экране.

Замок действует там, где данные читаются, а не на одном экране: содержимое запертой заметки не отдаётся ни приложению, ни какой-либо ссылке доступа, ни истории версий, пока PIN не подтверждён. Значит, нет ни одного пути — ни экспорта, ни предпросмотра, ни снимка, — который тихо показал бы то, что замок должен скрыть.

Сквозное шифрование — если захочешь

Включи его в Настройках и выбери парольную фразу. Заметки, которые ты зашифруешь, шифруются в твоём браузере ещё до сохранения — ключом, который никогда не попадает на наш сервер в читаемом виде: мы храним только шифротекст, который не можем открыть.

У этой защиты есть условие, о котором мы говорим сразу: забытую парольную фразу никто не может сбросить, поэтому ты получаешь код восстановления, который нужно хранить в надёжном месте, — а если потеряешь и то и другое, зашифрованные заметки пропадут. Зашифрованными заметками нельзя делиться, в них нельзя добавлять изображения, поиск по ним идёт в твоём собственном браузере, а папки, теги и даты остаются незашифрованными, чтобы приложение могло их упорядочивать. По умолчанию шифрование выключено, и ты можешь в любой момент снова всё расшифровать.

Твои данные остаются твоими

Экспортируй всё как Markdown, простой текст, PDF или единый архив, когда захочешь, и удаляй аккаунт со всеми заметками в один шаг. Рекламного профиля нет, а твои заметки никогда не продаются.

Всё, что ты пишешь, остаётся твоим: экспортируй любую заметку как Markdown или PDF, скачай все свои заметки, папки и теги сразу и удали аккаунт со всем, что в нём есть, за один шаг. Нет рекламного профиля, нет сторонней аналитики без твоего явного согласия и нет ничего, что сделало бы уход сложнее прихода.

Само приложение

Сайт задаёт строгую политику безопасности контента, отправляет привычные защитные заголовки и в продакшене отдаёт всё по HTTPS с HSTS.

Содержимое заметок отображается через собственный парсер редактора, а не вставляется как сырой HTML, так что заметка не может принести скрипт, который выполнится в чужом браузере. Загруженные изображения проверяются по настоящей сигнатуре файла, хранятся вне корня сайта под именами, которые невозможно угадать, и ограничены как на файл, так и на аккаунт. Вход через Google привязывается к существующему аккаунту только тогда, когда Google заявляет, что адрес подтверждён, — это закрывает классический путь к захвату аккаунта.

Безопасность

Чего MyNout никогда не делает

Никогда не продаёт и не сдаёт никому твои заметки, твой адрес электронной почты или то, как ты пользуешься приложением.
Никогда не читает твои заметки, чтобы построить рекламный профиль или обучить модель.
Никогда не загружает аналитические или рекламные скрипты, пока ты их не принял.
Никогда не хранит твой пароль — ни в открытом виде, ни в какой-либо обратимой форме.
Никогда не запрашивает твою парольную фразу шифрования — она не покидает твой браузер.
Никогда не запирает твои данные: экспортируй всё, в любой момент, в открытых форматах.

Что спрашивают о безопасности

Мои заметки зашифрованы?

Решать тебе. По умолчанию заметки хранятся в нашей базе данных, и их защищают твой аккаунт, замок заметки, если ты им пользуешься, и зашифрованные соединения — но не сквозное шифрование, поэтому сервер может их прочитать. Включи сквозное шифрование в Настройках, и заметки, которые ты зашифруешь, будут шифроваться в твоём браузере ключом, который разблокирует только твоя парольная фраза: мы не храним ничего, что могли бы прочитать, и не смогли бы восстановить это для тебя. Папки, теги и даты остаются незашифрованными, а зашифрованными заметками нельзя делиться.

Что делать, если я потеряю устройство со вторым фактором?

Воспользуйся одним из резервных кодов, показанных при включении двухфакторной аутентификации; каждый работает один раз. Если кодов тоже нет, напиши нам с адреса электронной почты, указанного в аккаунте, и перед восстановлением доступа мы убедимся, что он твой.

Кто увидит заметку, которой я поделился по ссылке?

Любой, у кого есть точная ссылка, — именно поэтому она длинная и случайная. Если этого мало, поставь на ссылку пароль, а когда заметка выполнила своё назначение, выключи ссылку — доступ сразу пропадает у всех.

Политика конфиденциальности

Читай дальше

Начни свой блокнот сегодня

Создай бесплатный аккаунт и храни все заметки в одном месте.

Создать бесплатный аккаунт

Бесплатно навсегда · Без банковской карты · Меньше минуты