Политика безопасности

Последнее обновление: 9 октября 2026

Что мы делаем для защиты аккаунтов, комнат и данных — и что нужно делать вам, чтобы не стать жертвой взлома или мошенничества.

1. Что мы делаем

1.1. Шифрование трафика

• HTTPS — весь трафик между браузером и сервером зашифрован по TLS. Подделать или подсмотреть его снаружи нельзя.
• WSS — WebSocket-соединение с Janus тоже работает только поверх TLS. Голосовой и текстовый трафик внутри комнат зашифрован в пути.
• SRTP — на уровне WebRTC медиапотоки идут поверх SRTP с DTLS-ключами. Даже внутри инфраструктуры перехватить их не так просто.

1.2. Защита аккаунтов

• bcrypt для паролей. Мы храним только необратимый хеш. Даже если база данных утечёт, пароль восстановить не получится.
• Session fixation protection. После входа в аккаунт ID сессии полностью меняется — злоумышленник не сможет подсунуть вам заранее подготовленную сессию.
• Разделение сессий. Гости и зарегистрированные пользователи работают через один и тот же механизм, но с разными правами. Гость не получит доступ к функциям зарега, даже если подделает запрос.
• Активация по email. Новые аккаунты активируются только после перехода по ссылке из письма. Это защищает от регистрации на чужой адрес.

1.3. Защита комнат

• Пароль на комнату (bcrypt). Если вы закрыли комнату паролем, зайти смогут только те, кто знает пароль. Хеш хранится на сервере, в открытом виде не сохраняется.
• Комнаты зарегов доступны только зарегам. Случайные гости не зайдут на вашу частоту — даже если узнают её из тюнера.
• Проверка владения. Изменять и удалять комнату может только её владелец.
• Изоляция голосовых комнат. Комната в Janus привязана к уникальному ID из БД, а не к имени. Подменить чужую комнату через хеш имени не получится.

1.4. Инфраструктура

• Разделение сервисов. Janus Admin API и база данных слушают только локальный интерфейс, снаружи недоступны.
• Актуальные версии. Регулярно обновляем Janus, PHP, MySQL и фронтенд-библиотеки.
• Логирование. Технические логи для разбора инцидентов. IP-адреса в логах хранятся ограниченное время.
• Резервные копии. Ежедневные бэкапы базы данных и конфигов.

2. Что должны делать вы

Безопасность — это партнёрство. Даже идеально защищённый сервер не спасёт, если пользователь сам отдаёт пароль. Базовые правила:

• Придумайте сложный пароль. Минимум 8 символов, лучше 12+. Не используйте свой ник, дату рождения, «qwerty123» и тому подобное.
• Не используйте один пароль на разных сайтах. Если один сервис утечёт — на остальных ваш аккаунт тоже окажется под угрозой.
• Не сообщайте пароль никому. Даже «другу» из команды, даже «администрации». Настоящая администрация никогда не спросит пароль.
• Не переходите по подозрительным ссылкам. Наш сервис всегда показывает предупреждение перед переходом на сторонний ресурс. Если ссылка в чате выглядит странно — не кликайте.
• Проверяйте адрес сайта. Мы всегда на setchat.ru. Если вы видите похожий домен (setchat-online, setchat.net и т.п.) — это подделка, не вводите там пароль.
• Выходите с чужих устройств. Если заходили с общественного компьютера — обязательно нажмите «Выйти из аккаунта», а не просто закройте вкладку.
• Смените пароль, если подозреваете утечку. Лучше перестраховаться. Смена пароля — одна кнопка в настройках аккаунта.

3. Что делать при взломе

Если вы подозреваете, что ваш аккаунт взломали или кто-то получил доступ к вашей комнате:

1. Сразу смените пароль. Через форму восстановления на главной — даже если старый пароль у вас ещё работает.
2. Выйдите со всех сессий. После смены пароля все старые сессии разлогиниваются. Если этого не произошло — напишите в обратную связь.
3. Проверьте свои комнаты. Возможно, злоумышленник успел поменять пароль, удалить комнату или перепривязать кнопки.
4. Напишите в обратную связь. Опишите ситуацию: когда заметили, что изменилось, был ли доступ к почте. Мы поможем восстановить доступ и разобраться.

4. Ответственное раскрытие уязвимостей

Если вы нашли уязвимость в SetChat — мы будем благодарны, если вы сообщите о ней нам, а не будете использовать для вреда.

Что мы просим:

• Не используйте уязвимость в личных целях. Не читайте чужие чаты, не трогайте чужие комнаты, не выкачивайте данные.
• Опишите проблему подробно. Что именно сломано, как воспроизвести, какой эффект даёт.
• Дайте нам время на исправление. Минимум 30 дней. Обычно мы закрываем критичные баги за несколько дней.
• Не публикуйте до фикса. После закрытия уязвимости — мы не против публикации. До этого — воздержитесь.

Что вы получите:

• Упоминание в списке благодарностей (если хотите — анонимно).
• Ускоренное рассмотрение любых ваших запросов в сервисе.
• Наше уважение — реальное, не формальное.

Куда сообщать: через комнату обратной связи. Пометьте первое сообщение как «Security», чтобы мы заметили быстрее. Если уязвимость критичная — не описывайте детали в открытом канале, попросите приватный канал связи в первом сообщении.

5. Общие правила безопасности

• Не устанавливайте сторонние скрипты для SetChat — их не существует. Любой «клиент» или «улучшайзер» — подделка.
• Не вводите пароль на других сайтах. Только на setchat.ru.
• Не подключайтесь к чужим Wi-Fi без VPN, если заходите с важных аккаунтов. Публичные сети легко прослушиваются, даже с HTTPS.
• Будьте осторожны с расширениями браузера. Некоторые расширения читают всё, что вы вводите, включая пароли.
• Проверяйте, что вы вошли на настоящий сайт. Зелёный замочек в адресной строке и домен setchat.ru — обязательны.

6. Инциденты и уведомления

Если произойдёт утечка данных — мы обязуемся:

• Сообщить публично — баннер на главной, письмо всем зарегистрированным пользователям.
• Рассказать подробно — что утекло, когда, что мы уже сделали.
• Рекомендовать действия — сменить пароль, проверить почту, включить дополнительную защиту.
• Взять на себя ответственность — без «нас взломали, мы не виноваты». Наша инфраструктура — наша ответственность.

7. Контакты

Вопросы по безопасности — через комнату обратной связи. По критическим инцидентам пишите немедленно, не ждите «удобного момента».

Спасибо, что помогаете нам делать SetChat безопаснее.