보안
보안을 있는 그대로 설명합니다
받지 않은 인증 마크 없이, 지금 하고 있는 것만 적었습니다. SOC 2나 ISO 27001 인증을 받았다고 주장하지 않습니다. 보안 설문에 답변이 필요하면 문의해 주세요.
인프라
이메일은 AWS eu-central-1(프랑크푸르트)의 Amazon SES가 전달합니다. 애플리케이션, 워커, 데이터베이스는 Railway의 EU 리전(네덜란드 암스테르담)에서 실행됩니다. 각 팀은 자체 SES 테넌트로 발송하므로 한 고객의 평판 문제가 다른 고객에게 영향을 주지 않습니다. SpacePost는 자체 SES 구성 세트와, SpacePost의 SES, SQS, SNS 리소스로만 제한된 전용 IAM 사용자를 사용합니다.
전송 중 암호화
API, 대시보드, SMTP 릴레이는 TLS가 필요합니다. 일반 HTTP 요청은 리디렉션되거나 거부되며, SMTP 릴레이(25976 포트)는 인증 전에 STARTTLS가 필요합니다.
저장 시 암호화
데이터베이스 볼륨과 백업은 호스팅 제공업체가 저장 시 암호화하며, Amazon SES에 저장되는 메시지 데이터는 AWS가 암호화합니다.
API 키
키(sp_live_...)는 생성할 때 단 한 번만 표시됩니다. SHA-256 해시만 저장하므로 나중에 키를 보여 드리거나 복구할 수 없습니다. 키는 발송 전용과 단일 도메인으로 제한할 수 있고, 즉시 폐기할 수 있습니다.
웹훅 서명
모든 웹훅은 Standard Webhooks 방식(webhook-id, webhook-timestamp, webhook-signature)으로 엔드포인트별 시크릿을 써서 서명되므로, 위조되거나 재전송된 요청을 거부할 수 있습니다.
접근 제어
모든 데이터는 팀 단위로 구분되며 요청마다 확인됩니다. 대시보드 로그인은 이메일과 비밀번호, 매직 링크, GitHub를 지원합니다. 운영 데이터에 대한 직원의 접근은 지원과 악용 대응에 필요한 범위로 제한됩니다.
악용 방지
신규 팀은 7일 동안 하루 100통의 샌드박스로 제한됩니다. 반송률이나 스팸 신고율이 높으면 팀이 자동으로 일시 중지되고, 모든 수신자는 발송 전에 발송 제외 목록과 대조됩니다.
데이터 보관
이메일 로그는 Free 30일, Pro 30일, Scale 60일 보관한 뒤 예약 작업으로 삭제됩니다. 수신 거부 항목과 계정 데이터는 계정이 활성인 동안 보관됩니다. 삭제와 내보내기는 개인정보 처리방침을 참고하세요.
책임 있는 취약점 신고
취약점을 찾으셨나요? 재현 단계를 적어 security@spacepost.dev로 보내 주세요.
- 신고는 영업일 3일 이내에 확인하고, 해결될 때까지 진행 상황을 알려 드립니다.
- 다른 고객의 데이터에 접근하거나, 서비스를 저하시키거나, 우리 인프라로 스팸을 보내거나, 문제가 해결되기 전에 세부 내용을 공개하지 말아 주세요.
- 이 규칙을 지키는 선의의 연구에는 법적 조치를 취하지 않습니다. 아직 유료 버그 바운티 프로그램은 운영하지 않습니다.
서비스 장애: 상태 페이지.