Seguridad y datos

Los escáneres se ejecutan en sus agentes. El espacio de trabajo almacena resultados y decisiones, no su código fuente.

Qué se almacena

Hallazgos: motor, regla, severidad, repositorio, ruta del archivo y línea. En el caso de los secretos se almacena la ubicación, no el valor.
Detalles de la ejecución: repositorio, commit, pull request, los motores que se ejecutaron, la decisión de la puerta y el login de quien ejecutó la compilación.
Excepciones con responsable, aprobador, motivo y caducidad, y la configuración de su puerta.
Un registro de auditoría de las aprobaciones de excepciones, los cambios de la política de la puerta, las subidas de SARIF y los cambios de tokens de ingesta, con quién los hizo y cuándo.

Al registro de auditoría solo se pueden añadir entradas. Cada entrada está encadenada a la anterior, de modo que se puede detectar una entrada eliminada o modificada. La consola todavía no muestra el registro de auditoría.

Dónde se almacena

Cada cliente recibe un entorno dedicado. Un pedido sin días de prueba obtiene su propia base de datos Postgres en la región elegida en la compra. Una prueba, o un pedido con tarjeta que comienza con días de prueba, obtiene su propio esquema en el proyecto compartido de la UE (París), y todavía nada lo traslada a su propia base de datos en el primer pago.

Las regiones son la UE (Fráncfort), Reino Unido (Londres), EE. UU. (Virginia del Norte), Canadá (Montréal), Asia-Pacífico (Singapur) y América Latina (São Paulo). Oriente Medio y África se aloja en la UE. El valor predeterminado es la UE. Las pruebas se ejecutan en la UE sea cual sea la región. Guardrail Ledger es operado por Spot Cloud B.V.

Acceso

El inicio de sesión usa Spot Suite con Microsoft Entra. Guardrail Ledger no mantiene una base de datos de usuarios independiente. Los datos están limitados a su espacio de trabajo y no se comparten entre clientes.