आपका पैसा आपका है।
आपका डेटा भी।
Trove शुरुआती टेस्टिंग में है और एक व्यक्ति इसे बनाता है। यहाँ सीधा हिसाब है कि आज आपके डेटा को क्या बचाता है, और उतना ही ज़रूरी, कि क्या अभी नहीं है। इस पेज पर कुछ भी भविष्य का वादा नहीं है।
एन्क्रिप्शन
हर जगह HTTPS, HSTS preload के साथ। रखा हुआ डेटा Supabase के मैनेज्ड Postgres में, और अपलोड की गई रसीदें Supabase Storage में एन्क्रिप्ट होती हैं।
हम आपके बैंक को छूते तक नहीं
Trove का कोई बैंक कनेक्शन नहीं है। कोई Plaid इंटीग्रेशन नहीं, कोई क्रेडेंशियल नहीं, कोई टोकन नहीं। ऐप में सब कुछ वही डेटा है जो आपने ख़ुद लिखा या इम्पोर्ट किया।
लॉगिन
ईमेल और पासवर्ड या Google OAuth, दोनों Supabase Auth संभालता है। पासवर्ड Supabase हैश करता है और वे कभी Trove तक नहीं पहुँचते। टू-फ़ैक्टर ऑथेंटिकेशन अभी उपलब्ध नहीं है।
डेटा का अलगाव
हर टेबल पर Postgres row-level security, ताकि कोई क्वेरी सिर्फ़ आपकी अपनी पंक्तियाँ लौटा सके। रसीदें आपके यूज़र आईडी तक सीमित एक निजी बकेट में रहती हैं और कम समय वाले साइन किए URL से मिलती हैं।
निगरानी
सर्वर लॉग और हर बदलाव का ऐप के अंदर ऑडिट रिकॉर्ड। एक /api/health endpoint बताता है कि डेटाबेस पहुँच में है या नहीं। एरर Sentry को भेजे जाते हैं, ईमेल, लंबे नंबर और पहचान हटाकर। इस वेबसाइट पर Google Analytics सिर्फ़ आपकी मंज़ूरी के बाद चलता है, और Cloudflare बिना कुकी के पेज व्यू गिनता है। अभी कोई औपचारिक अपटाइम निगरानी या ऑन-कॉल व्यवस्था नहीं है।
अनुपालन
Trove का SOC 2 ऑडिट नहीं हुआ है और अभी कोई ऑडिट चल नहीं रहा। आप Settings से कभी भी अपना सारा डेटा एक्सपोर्ट कर सकते हैं और अकाउंट हमेशा के लिए मिटा सकते हैं।
क्या अभी नहीं है
कमियों के बारे में साफ़ रहना टेस्टिंग के दौर का हिस्सा है:
- टू-फ़ैक्टर ऑथेंटिकेशन नहीं।
- किसी बाहरी संस्था का सुरक्षा ऑडिट या पेनेट्रेशन टेस्ट नहीं।
- अपटाइम या घटना पर जवाब की कोई औपचारिक प्रतिबद्धता नहीं। रात 2 बजे कुछ टूटे, तो मेरे जागने तक टूटा रहेगा।
- कोई बग-बाउंटी प्रोग्राम नहीं।
Trove को किसी भी शुरुआती प्रोडक्ट की तरह लें: अपना खर्च साफ़ देखने के लिए काम का, आधिकारिक रिकॉर्ड नहीं।
ज़िम्मेदार ख़ुलासा
अगर आपको कोई कमज़ोरी मिले, तो ईमेल करें [email protected]। मैं ख़ुद पढ़ता हूँ और जितनी जल्दी हो सके जवाब दूँगा। मैं ऐसा समय नहीं बताऊँगा जिसकी गारंटी न दे सकूँ। सार्वजनिक करने से पहले मुझे ठीक करने का मौक़ा दें। कोई इनाम नहीं है, पर आप चाहें तो रिलीज़ में आपका नाम दूँगा।