Безопасность, приватность, эксплуатация

Во встраиваемом продукте безопасность — не раздел в конце договора, а часть контракта: границы проходят прямо по вызовам. Вам нужно понимать, где проходят границы доверия, что попадает в журналы, какие учётные данные не выходят наружу, как обновляется среда выполнения и как освобождаются ресурсы.

Область	За что отвечает FastOffice	Что остаётся на вашей стороне
Сетевая граница	У документов служба поверхности слушает только локальный адрес: снаружи, даже из своей сети, к ней не подключиться. У таблиц в браузере отдельной службы нет вовсе — ядро считает в памяти страницы, и книга наружу не уходит (как это устроено). Поставщики данных без явного разрешения в сеть не ходят ни там, ни там.	Задать разрешённые адреса источников, корневые каталоги и сетевые правила.
Секреты	Службу поверхности A4 защищает пропуск длиной 256 бит из системного источника случайности, новый на каждый запуск и действующий, пока она работает; секреты вырезаются из вывода, а учётные данные передаются непрозрачными идентификаторами.	Не записывать в журнал пропуски, адреса и учётные данные; выбрать, куда уходят показатели работы.
Хранилище	Контракт сохранения, передача байтами или потоком, доступ по адресу только при объявленной возможности, замена файла одним неделимым действием.	Пути, права доступа, резервные копии, сроки хранения, контроль утечек.
Режим чтения и роли	Ограничение проверяется при выполнении команды, а не только гашением кнопок в интерфейсе.	Сами роли и решения о правах.
Журналы	Счётчики, длительности, коды и контрольные суммы — без содержимого документа.	Согласовать, что вырезается, что попадает в аудит и сколько хранится.
Цепочка поставки	Подписи, описи состава, контрольные суммы и правила совместимости обновлений. Подписано пока не всё, и по системам по-разному — что именно проверяется сегодня, сведено в рисках и разобрано на страницах установки.	Порядок раскатки и отката, согласования, канал поддержки.
Жизненный цикл	Повторное закрытие безопасно; приёмка требует, чтобы после закрытия не осталось ни одного занятого ресурса.	Наблюдение за процессом, правила тайм-аутов, решение о судьбе несохранённого документа.

Что можно собирать, не касаясь содержимого

• версия среды выполнения, версия контракта, идентификатор профиля возможностей;

• идентификатор операции, семейство команды, длительность в миллисекундах, класс исхода;

• размер документа с точностью до диапазона и количество структурных элементов — без самого текста;

• причина завершения процесса, пик потребления памяти, счётчики тайм-аутов и повторов;

• версии системы, WebView, браузера и среды выполнения, а также канал обновлений.

Не логировать

Токены, полные адреса, текст документа, примечания, имена авторов, исходную разметку, байты книги, учётные данные и абсолютные пути — если для них не задано правило вырезания.

Где это описано подробнее

У документов это собрано на одной странице, у таблиц разнесено по темам.

• A4: минимальная модель безопасности, локальный адрес и пропуск, запрещённые обходные пути — Ответственность и безопасность.
• F1, где остаются данные: в браузере книга живёт в памяти вкладки и наружу не уходит — ядро в браузере; на сервере изоляция клиентов, квоты и журнал остаются за вами — процессор на сервере.
• F1, границы для чужого ввода: разрешённые каталоги и типы файлов, запрет передавать адрес назначения от внешнего клиента — интеграция в приложение.
• F1, что не попадает наружу: учётные данные и исходный текст запросов Power Query и макросов не уходят в события — среды выполнения; уровни приватности источников — доверие и приватность.
• Что приходит в отказе и почему отказ безопаснее тихой порчи — Как устроен сеанс API.