Tietoturva

Tämä osio kuvaa tunnuspalvelun tietoturvaominaisuudet kategoriatasolla — riittävän tarkasti arkkitehtuurin ja käytäntöjen arviointiin, ilman hyökkäyskohtaista uhkamallia.

Yhteenveto

Alue	Kuvaus
Istunnot	Selainistunto __Host--etuliitteisessä evästeessä (HttpOnly, Secure, SameSite=Lax), 30 vuorokauden voimassaolo. Tietokantaan tallennetaan vain istuntotokenin tiiviste, ei raakaa arvoa.
CSRF-suojaus	Erillinen kertakäyttöinen CSRF-token jokaisella lomakelähetyksellä, sidottu istuntoon.
PKCE	Pakollinen julkisille OAuth-clienteille (S256).
Token-tyyppi	Access tokenit merkitään omalla tyypillä (at+jwt, RFC 9068), joten resurssipalvelin voi erottaa ne ID-tokeneista.
Sender-constrained tokenit	DPoP (RFC 9449) tuettu natiivi- ja mobiilisovelluksille.
Avainten rotaatio	Automaattinen, tenantkohtainen ES256-avainten rotaatio taustaprosessina. Ks. Avaimet ja allekirjoitus.
Salaus levossa	Arkaluontoiset salaisuudet (mm. MFA-salaisuudet, koneelta koneelle -avaimet, webhook-salaisuudet, signing-avainten yksityiset avaimet) salataan AES-256-GCM:llä levossa.
Nopeusrajoitus	Kirjautumis- ja API-reiteillä on tenant- ja lähdeosoitekohtainen nopeusrajoitus; virhetilanteessa rajoitus estää pyynnön sen sijaan että päästäisi sen läpi.
Turvallisuusotsikot	Tiukka Content-Security-Policy ilman unsafe-inline-sallintaa, HSTS, X-Frame-Options: DENY, X-Content-Type-Options: nosniff.
SSRF-suojaus	Ulospäin lähtevät kutsut (webhookit, back-channel logout) tarkistetaan ennen jokaista lähetystä, ei vain rekisteröinnin yhteydessä.
Tenant-eristys	Jokaisella tenantilla omat käyttäjät, clientit, sessiot ja signing-avaimet. Ks. Arkkitehtuuri.

Lue lisää

• Arkkitehtuuri — komponentit ja tenant-eristys.
• Avaimet ja allekirjoitus — ES256, JWKS, rotaatio.
• Tietosuoja ja GDPR — henkilötiedot, säilytys, rekisteröidyn oikeudet.
• Hosting ja saatavuus — missä ja miten palvelu ajetaan.
• Standardien tuki — tuetut OIDC/OAuth-standardit taulukkona.
• Vahva tunnistus (FTN) — roadmap-status.