Безопасность сайта и проектов

Из чего состоит

Сайт likessystem.com работает на фреймворке Symfony 7.4 и системе управления содержимым Sulu CMS 3, данные хранятся в базе данных MySQL. В этой базе сохраняются и заявки из формы. Редакторская часть, где сотрудники меняют тексты и читают заявки, посетителям недоступна.

Сайт размещён у хостинг-провайдера [ уточняется ], страна размещения сервера — [ уточняется ].

Соединение

Сайт открывается только по защищённому протоколу HTTPS (TLS). Обращения по незащищённому протоколу http перенаправляются на https. Всё, что вы вводите в форму, передаётся на сервер по зашифрованному соединению.

Вход для сотрудников

В редакторскую часть входят только по личной учётной записи сотрудника. Пароли хранятся в виде хэшей, а не открытым текстом; сайт поддерживает подтверждение входа одноразовым кодом из письма. Доступ к серверу и к редакторской части получают только сотрудники, которым он нужен для работы, и только в том объёме, который нужен для их задач.

Свой код и чужой код

Шрифты, стили и скрипты сайта загружаются с его собственного домена — без внешних шрифтовых сервисов и библиотек с чужих серверов. Сторонние счётчики — Яндекс Метрика и пиксель Meta — загружаются только после вашего согласия, подробно об этом — в Политике cookie. Карта Яндекса на странице контактов загружается только после того, как вы нажмёте кнопку показа карты.

Обслуживание

Мы обновляем платформу и библиотеки, на которых работает сайт, в том числе когда выходят исправления безопасности. Пароли, ключи доступа и токены хранятся в настройках серверного окружения, а не в исходном коде и не в системе контроля версий. Резервные копии базы данных делаем регулярно; каждая копия хранится 30 дней, затем перезаписывается.

Защита формы заявки

Сервер принимает заявку только со страниц самого сайта и заново проверяет каждое поле, не полагаясь на проверку в браузере. От автоматических рассылок форму защищают скрытая ловушка для ботов, проверка времени заполнения и ограничение числа заявок с одного адреса.

Правовая основа

Эти меры ООО «Лайков» принимает во исполнение ст. 17 Закона № 99-З «О защите персональных данных». Технические меры выбираем с учётом требований Оперативно-аналитического центра при Президенте Республики Беларусь к технической и криптографической защите персональных данных (приказы ОАЦ № 66 от 20.02.2020 и № 195 от 12.11.2021) и рекомендаций Национального центра защиты персональных данных.

Аттестацию системы защиты информации сайт не проходил. Сертификатов в области информационной безопасности у нас нет, и мы их не заявляем.

Полной защиты от любых атак не даёт ни одна система. Мы принимаем меры, соразмерные характеру данных, которые обрабатывает сайт, и пересматриваем их, когда сайт меняется.

Путь заявки

Когда вы отправляете форму, заявка по защищённому соединению уходит на сервер сайта и сохраняется в базе данных. Сразу после этого сервер отправляет уведомление на рабочую почту студии, а если подключён рабочий Telegram-бот — ещё и в рабочий чат студии в Telegram. В уведомление попадают имя, телефон, выбранный способ связи, расчёт и метки рекламы. IP-адрес и название браузера в уведомления не попадают: они остаются только в базе как подтверждение вашего согласия.

Почту студии обслуживает [ уточняется ], страна почтового сервера — [ уточняется ]. Telegram — сервис иностранной компании. Кому и в какие страны передаются данные и на каком основании, описывает Политика обработки персональных данных.

Если база данных временно недоступна, заявка не теряется: сервер записывает её в служебный журнал. Журналы сервера доступны только сотрудникам, которые обслуживают сайт, и хранятся 90 дней.

Кто видит заявки

Заявки в редакторской части и в уведомлениях читают только сотрудники ООО «Лайков», которым это нужно, чтобы ответить вам и подготовить расчёт. Порядок доступа к персональным данным устанавливает ООО «Лайков», внутренний контроль за их обработкой ведёт [ уточняется ]. Сотрудники с доступом знакомятся с требованиями законодательства о персональных данных и обязаны не раскрывать их (ст. 17 Закона № 99-З).

Сколько хранится заявка и когда мы её удаляем — в Политике обработки персональных данных.

Счётчики и карта

Яндекс Метрика и пиксель Meta загружаются только после вашего согласия в окне выбора cookie, отдельно по каждой категории. До вашего выбора сторонние скрипты на страницу не загружаются, а если окно выбора выключено в настройках сайта — счётчики не загружаются вовсе. Изменить выбор можно в любой момент кнопкой «Настройки cookie» в подвале сайта (она появляется, когда на сайте подключён хотя бы один счётчик) или очисткой данных сайта в настройках браузера.

Карта Яндекса на странице контактов появляется только после нажатия кнопки показа карты. С этого момента Яндекс получает ваш IP-адрес и ставит свои cookie по своим правилам. Подробно — в Политике cookie.

Переписка

Переписку по почте и в мессенджерах защищают средства этих сервисов, их инфраструктурой мы не управляем. Поэтому не присылайте нам в сообщениях пароли, коды подтверждения и данные банковских карт — они нам не нужны.

Если что-то случилось

Если мы узнаем о нарушении системы защиты персональных данных, мы незамедлительно, но не позднее трёх рабочих дней уведомим Национальный центр защиты персональных данных (ст. 16 п. 1 Закона № 99-З). Мы устраняем причину, устанавливаем, какие данные затронуты, и сообщаем об этом людям, чьи данные затронуты, — по контактам из их заявок.

Как мы обрабатываем данные, на каком основании и как воспользоваться своими правами, описывает Политика обработки персональных данных, права — в разделе «Ваши права». Вопросы о своих данных присылайте на hello@likessystem.com.

Наши официальные каналы

От имени студии LikesSystem действует Общество с ограниченной ответственностью «Лайков»: УНП [ появится после регистрации ], место нахождения — [ появится после регистрации ]. Наши официальные каналы связи:

• сайт — likessystem.com;
• электронная почта — hello@likessystem.com;
• телефоны — +375 29 163-36-69, +375 29 748-62-20;
• Telegram — @likes_system.

Отвечаем в рабочие дни с 09:00 до 18:00 по минскому времени. Наименование, место нахождения и режим работы мы указываем по требованию ст. 8 Закона № 90-З «О защите прав потребителей»; полные реквизиты — в Публичной оферте.

Оплата

Счета и договоры оформляет только Общество с ограниченной ответственностью «Лайков». Оплату принимаем только на расчётный счёт общества — IBAN [ появится после регистрации ], банк [ появится после регистрации ] — по выставленному нами счёту или подписанному договору. Реквизиты в счёте всегда совпадают с реквизитами в оферте.

О смене банковских реквизитов мы сообщаем письменным уведомлением за подписью директора ООО «Лайков» и в тот же день обновляем их в оферте. Если вам прислали «новые реквизиты» иным способом или просят срочно заплатить на другой счёт — не платите и проверьте запрос по официальному каналу. Деньги, переведённые по реквизитам, которых нет в договоре, в нашем счёте или в оферте, к ООО «Лайков» не поступают.

Чего мы никогда не просим

• коды из SMS и push-уведомлений банка, коды подтверждения из мессенджеров и почты;
• номер, срок действия и CVV-код банковской карты, логин и пароль от интернет-банка;
• перевести деньги на карту или счёт частного лица, в электронный кошелёк или криптовалютой;
• заплатить до того, как вы получили от ООО «Лайков» счёт или договор;
• установить программу удалённого доступа к вашему телефону или компьютеру;
• прислать в переписке пароль от вашего аккаунта — если для работ нужен доступ, договоримся о безопасном способе (см. главу о проектах).

Если вам написали «от нас»

Мошенники представляются сотрудниками известных компаний и копируют их имя, знак и манеру переписки. Если вы сомневаетесь, что сообщение, звонок или счёт пришли от нас, — не переходите по ссылкам и не платите, а напишите или позвоните нам по одному из каналов выше. Сайты с похожими адресами и аккаунты, которых нет в этом списке, нам не принадлежат, и ООО «Лайков» не отвечает за их действия.

О попытке обмана от нашего имени сообщите на hello@likessystem.com — мы предупредим клиентов и при необходимости обратимся в правоохранительные органы. Если вы уже перевели деньги мошенникам, сразу позвоните в свой банк и обратитесь в милицию по номеру 102.

Как мы работаем

• Минимальные права. Запрашиваем и используем только те доступы, которые нужны для согласованных работ, и только для этих работ.
• Отдельные учётные записи. Просим выдать нам отдельный доступ вместо вашего личного пароля: его легко ограничить и отозвать.
• Секреты не в коде и не в чатах. Пароли, ключи и токены не размещаем в исходном коде и системах контроля версий, а передаём и храним через менеджер паролей.
• HTTPS по умолчанию. Сайты и сервисы, которые мы запускаем, работают по защищённому соединению.
• Обновления. Используем поддерживаемые версии платформ и библиотек и обновляем зависимости в ходе работ.
• Резервные копии. До запуска договариваемся, кто, где и с какой периодичностью делает резервные копии проекта.

Персональные данные ваших клиентов

Если для работ нам нужен доступ к персональным данным, которые обрабатываете вы, мы обрабатываем их только по вашему поручению и только в объёме, нужном для работ (ст. 7 Закона № 99-З). Цели, перечень действий, обязанность не раскрывать данные и меры их защиты указываем в договоре или в отдельном поручении. Копии ваших баз данных не храним дольше, чем нужно для работ, и удаляем их после сдачи.

После завершения

Когда работы закончены, мы возвращаем доступы или сообщаем, какие из них нужно отозвать, и рекомендуем сменить пароли, которые передавались нам. Проверки защищённости чужих систем проводим только по письменному заданию владельца системы.

Принципы и обязательства

Эта глава описывает, как мы работаем, и сама по себе не создаёт договорных обязательств и гарантий. Обязательства по конкретному проекту — конфиденциальность, сроки, ответственность — определяют Публичная оферта и договор или Смета. За безопасность систем и учётных записей, доступ к которым нам не передавали, отвечает их владелец.

Куда писать

Сообщения об уязвимостях сайта likessystem.com присылайте на hello@likessystem.com с темой «Безопасность». Опишите проблему, шаги, которые к ней привели, адрес страницы и, если есть, снимок экрана. Не прикладывайте персональные данные других людей, даже если вы их увидели, — достаточно описать, где и какие данные доступны.

О чём просим

• не использовать уязвимость и не пытаться получить доступ к закрытым частям сайта;
• не читать, не копировать, не изменять и не удалять чужие данные;
• не нарушать работу сайта: не создавать нагрузку, не запускать массовые автоматические проверки и не рассылать сообщения через формы;
• не публиковать сведения об уязвимости и не передавать их третьим лицам, пока она не устранена.

Что обещаем

• ответить в течение пяти рабочих дней с получения письма;
• сообщить вам, когда уязвимость устранена;
• поблагодарить — с вашего согласия публично, с указанием имени или псевдонима.

Денежного вознаграждения за сообщения об уязвимостях (программы bug bounty) у нас нет, и письмо об уязвимости не создаёт обязанности его выплатить. Требование денег под угрозой опубликовать уязвимость мы не считаем сообщением об уязвимости и передаём в правоохранительные органы.

Если сообщение указывает на нарушение защиты персональных данных, мы действуем так, как описано в главе «Данные посетителей», и уведомляем Национальный центр защиты персональных данных (ст. 16 Закона № 99-З). Ваше письмо и адрес используем только для проверки, устранения проблемы и ответа вам.

Честно о законе

Уголовный кодекс Республики Беларусь (глава 31, ст. 349–355) устанавливает ответственность за несанкционированный доступ к компьютерной информации и за вмешательство в работу компьютерных систем. Исключений для «этичного» тестирования закон не делает, и эта страница разрешением на проверку не является. Не проводите активных проверок чужих систем — и нашего сайта тоже — без письменного разрешения их владельца.

Если вы хотите проверить защищённость нашего сайта, запросите разрешение тем же письмом. Разрешение действует, только если его письменно выдало ООО «Лайков» и в нём указано, что, в какие сроки и какими способами разрешено проверять. Об уязвимости в сайте, который мы сделали для клиента, сообщите нам или владельцу сайта — разрешений на проверку чужих сайтов мы не выдаём.

Действующая редакция — от 24 сентября 2026 г. Страница описывает меры, которые действуют на эту дату. Когда меры меняются, мы публикуем здесь новую редакцию, а прежние перечисляем под документом.

Страница носит информационный характер: она не является публичной офертой и не изменяет условий заключённых договоров. Условия работы с клиентами определяют Публичная оферта и договор, правила пользования сайтом — Условия обслуживания, обработку персональных данных — Политика обработки персональных данных.