Безопасность, приватность, эксплуатация

Trust boundaries, секреты, хранилище, роли, логирование, supply chain и lifecycle — что контролирует FastOffice и что обязан обеспечить партнёр.

Для OEM/white-label продукта security - не отдельный раздел в конце договора, а часть API. Партнёр должен понимать, где проходят trust boundaries, что логируется, какие credentials не попадают в projections, как обновляется runtime и как закрываются ресурсы.

Область	FastOffice control	Обязанность партнёра
Network boundary	Loopback-only для desktop Surface Host; no network by default для providers.	Выдать явно разрешённые origins, roots, network policies.
Secrets	256-bit tokens, redaction, short lifetime; credentials как opaque handles.	Не логировать token/URL/credentials; настроить telemetry destination.
Storage	Save contract, bytes/streams, URI только по capability, atomic replace policy.	Paths, permissions, backup, retention, DLP.
ReadOnly/roles	Enforced в command layer, не только disabled UI.	Роли и policy decisions.
Logging	Counts/timings/codes/hashes без document content.	Согласовать redaction, audit, retention.
Supply chain	Signed artifacts, manifests, SBOM, hashes, update compatibility.	Rollout/rollback, approvals, support channel.
Lifecycle	Idempotent close/unmount, zero leaked resources acceptance.	Supervisor, timeout policy, dirty-document decision.

Минимальная telemetry без содержимого

runtime version, contract version, capability profile id;
operation id, command family, elapsed_ms, outcome class;
document size bucket и structural feature counts без текста;
process/worker exit reason, peak memory, timeout/retry counters;
platform/WebView/browser/backend version и update channel.

Источник / основание: A4 Architecture Specification содержит threat boundaries, security checklist, no-content telemetry и production exit criteria. F1 Architecture Specification фиксирует no network by default, scoped credentials, file URI canonicalization, privacy modes и supply-chain manifests/signatures.