Pharus
Logg inn
Book en gjennomgang

Sikkerhet

Pharus inneholder opplysninger om sårbarheter i produktene deres som kanskje ikke er rettet ennå, og vi beskytter dem deretter. Her ser du hvordan dataene krypteres og holdes adskilt, hvem som har tilgang, og hvordan du melder fra om en sårbarhet i Pharus.

Sist oppdatert 3. november 2026

Hvor dataene ligger

Dataene i arbeidsområdet lagres i Stockholm hos databaseleverandøren vår, Supabase, og Pharus kjører hos Vercel i samme region. Noen få underleverandører, blant annet de som sender e-post og SMS, kan behandle data i USA. Databehandling viser hele listen.

Kryptering

Under overføring

  • Tilkoblinger til Pharus bruker HTTPS med TLS 1.2 eller 1.3, og nettlesere får beskjed om ikke å bruke noe annet (HSTS).
  • Forbindelsen mellom Pharus og databasen er kryptert med TLS.
  • Varsler til Slack, Microsoft Teams og egne webhooks, saker i Azure DevOps, Jira og GitHub, og tekst som sendes til AI-assistanse, forlater Pharus bare over HTTPS.

Ved lagring

  • Databasen er kryptert med AES-256 av databaseleverandøren vår.
  • Filer du laster opp, som SBOM-er, VEX-dokumenter og teknisk dokumentasjon, lagres i den samme databasen med den samme krypteringen.
  • Adressene og tilgangsnøklene til tjenestene dere kobler til, krypteres en gang til av Pharus, med AES-256-GCM, før de lagres. Nøkkelen oppbevares hos driftsleverandøren vår, adskilt fra databasen, så en kopi av databasen alene kan ikke åpne dem.
  • Passord lagres bare som saltede hasher (scrypt), API-nøkler bare som hasher, og hemmelighetene for totrinnsbekreftelse kryptert.

Arbeidsområdene holdes adskilt

Hver bedrifts data ligger i sitt eget arbeidsområde. Pharus holder arbeidsområdene adskilt på tre måter:

  1. Medlemskapet sjekkes ved hver forespørsel. Før Pharus leser eller endrer noe, sjekker det at du er medlem av arbeidsområdet, og hva rollen din gir lov til.
  2. Hver spørring er begrenset til ett arbeidsområde. Hver tabell med data fra et arbeidsområde har arbeidsområdets id, og hver spørring filtrerer på den.
  3. Filer vises bare for medlemmer. Opplastede filer lastes ned gjennom Pharus etter de samme sjekkene. Det finnes ingen åpne lenker til dem.

Som en ekstra sperre er radnivåsikkerhet slått på for hver tabell, så dataene kan ikke leses gjennom databaseleverandørens web-API.

Utenfor arbeidsområdet kan man bare se det medlemmene velger å dele: sikkerhetsmeldingene dere publiserer, og tidsbegrensede lenker, som den skrivebeskyttede lenken vi bruker til å gå gjennom én hendelse.

Innlogging og tilgang

  • E-postadressen bekreftes før kontoen kan brukes, og passord må ha minst 12 tegn.
  • Eiere og administratorer som logger inn med passord, må bruke totrinnsbekreftelse med en autentiseringsapp, og alle andre med passord kan slå det på.
  • Innloggingsforsøk er begrenset, og registreringen har en robotsjekk.
  • Tre roller, eier, administrator og medlem, avgjør hva hver person kan gjøre i arbeidsområdet.
  • Avgjørelsesloggen og revisjonsloggen er bare-tilføyelse: oppføringer kan ikke endres i ettertid.

Slik er Pharus bygget

  • Alle sider i appen har en streng Content Security Policy, HSTS og beskyttelse mot å bli vist i rammer på andre nettsteder.
  • All inndata valideres på serveren.
  • Webhooks som Pharus sender, kan bare gå til offentlige HTTPS-adresser, aldri til interne nettverk.
  • Webhooks som Pharus mottar fra betalings- og e-postleverandøren vår, sjekkes for gyldig signatur.
  • Feilrapporter renses for kontaktopplysninger og databaseverdier før de forlater Pharus.
  • AI-assistanse er av til en eier eller administrator slår den på. Når den er på, lagrer ikke AI-leverandørene noe og trener ikke på noe. Se databehandling.

Drift

  • Produksjon og testing bruker hver sin database.
  • Databasen sikkerhetskopieres hver dag, med gjenoppretting til et valgfritt tidspunkt.
  • Bare de i Pharus som trenger det, har tilgang til produksjonsdata.
  • Vi overvåker tjenesten og de planlagte jobbene, og blir varslet når noe feiler.

Meld fra om en sårbarhet

Send e-post til security@pharussecurity.com. Beskriv hva som er berørt, hvordan det kan gjenskapes, og hvilken effekt du har observert. Vi tar imot meldinger på norsk og engelsk.

Kontaktinformasjonen står også i security.txt, etter RFC 9116.

Hva du kan forvente

  • Bekreftelse på at vi har mottatt meldingen innen 2 virkedager.
  • En første vurdering innen 5 virkedager.
  • Jevnlige oppdateringer til sårbarheten er rettet eller avvist, med begrunnelse.
  • Kreditering i sikkerhetsmeldingen, hvis du ønsker det.

Retningslinjer for testing

Vi tar ikke rettslige skritt mot sikkerhetsforskning som gjøres i god tro og innenfor disse rammene:

  • Test bare mot kontoer og data du eier, eller har uttrykkelig tillatelse til å bruke.
  • Ikke se, endre eller slett andres data. Stopp og meld fra hvis du kommer over det.
  • Ikke utfør tjenestenektangrep, sosial manipulering eller fysiske angrep.
  • Gi oss rimelig tid til å rette før du offentliggjør noe. Vi avtaler gjerne tidspunktet med deg.

Sikkerhetsmeldinger (CSAF)

Når vi retter en sårbarhet i Pharus som kan påvirke kunder, publiserer vi en sikkerhetsmelding i CSAF 2.0-format med VEX-status for hver berørte komponent. Meldingene publiseres her og sendes direkte til administratorene i berørte arbeidsområder.

Aktivt utnyttede sårbarheter

Blir vi kjent med at en sårbarhet i Pharus utnyttes aktivt, varsler vi berørte kunder innen 24 timer — samme klokke som vi hjelper dere å holde.