Безопасность и данные
Коротко: содержимое ваших запросов через API мы не храним, ключи и пароли держим только в виде хэшей, а доступ к данным ограничиваем минимально необходимым.
Что храним
- Email и хэш пароля (PBKDF2-SHA256, 120 000 итераций, своя соль)
- Хэши ключей API (SHA-256) и их первые символы для отображения
- Метаданные запросов: время, ключ, модель, число токенов, цену, задержку
- Историю пополнений баланса
Что не храним
- Тексты запросов и ответов через API
- Загруженные файлы и картинки после обработки
- Ключи API в открытом виде — секрет показывается один раз
- Данные банковских карт — оплату проводит платёжный провайдер
Ключи API
Секрет ключа генерируется криптографически стойким генератором и показывается один раз при создании или ротации. В базе остаётся только его SHA-256-хэш — даже мы не можем восстановить ключ. Если ключ утёк, нажмите «Ротация» в кабинете: новый секрет с теми же лимитами начнёт работать сразу, а старый перестанет.
Советуем давать каждому сервису и клиенту отдельный ключ с лимитом в долларах и списком разрешённых моделей: так утечка одного ключа не опустошит баланс. Ключ управления не может вызывать модели — его безопасно хранить в своём биллинге.
Передача данных
Все соединения с шлюзом идут по HTTPS. Запрос передаётся разработчику модели только для генерации ответа — по его официальному API и на его условиях обработки данных. Мы не используем ваши запросы для обучения моделей и не передаём их третьим лицам.
Tux Chat
История чатов в Tux Chat хранится, чтобы вы могли к ней вернуться, — её можно удалить в любой момент. Это касается только чата в браузере, не запросов через API.
Нашли уязвимость?
Напишите на [email protected] с темой «Security». Ответим в течение рабочего дня и не будем преследовать за добросовестное исследование.