# Bezpečnost (https://docs.vitrinka.ai/cs/security)



## K čemu tahle záložka je [#what]

Tato část popisuje ukládání dat, šifrování, oddělení workspaců, přístup, uchovávání a obnovu. Ochrana vlastní instalace závisí na jejím nastavení; údaje o hostované službě uvádíme samostatně. Nastavení najdete v [referenci konfigurace](/cs/reference/env) a příkazy údržby v [Provozu](/cs/operator/operations#verbs).

Veřejný [bezpečnostní přehled](https://vitrinka.ai/legal/security) je přílohou technických opatření ke smlouvě o zpracování dat hostované služby. Tahle záložka je jeho protějškem pro vlastní instalaci: stejné kontroly, popsané na úrovni proměnné prostředí a příkazu.

## Mapa [#map]

| Stránka                                             | Co pokrývá                                                                                                                                        |
| --------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------- |
| [Šifrování a klíče](/cs/security/encryption)        | Obálka per workspace, klíč instalace, co je zapečetěné a jak se klíč rotuje.                                                                      |
| [Úložiště a nájemci](/cs/security/storage)          | Jeden SQLite soubor a jeden objektový prefix na workspace, backendy pro bloby, cache, kontrola malwaru.                                           |
| [Zálohy](/cs/security/backups)                      | Zapečetěný archiv záloh, co obsahuje a co vynechává, a jak obnova odmítá přepisovat.                                                              |
| [Uchovávání a mazání](/cs/security/retention)       | Lhůty uchovávání sessions, pravidla řídicí roviny a kryptografické skartování workspace.                                                          |
| [Auditní stopa](/cs/security/audit)                 | Jedna tabulka jen pro přidávání, zapsaná ve stejné transakci jako akce, kterou zaznamenává, a její podepsaný export mimo hostitele.               |
| [Identita a přístup](/cs/security/identity)         | Role, přihlašovací údaje, sdílené odkazy, jednotné přihlášení, MFA, nouzový přístup, pravomoc nad instalací, sessions a jak se autorizují agenti. |
| [Maskování citlivých údajů](/cs/security/redaction) | Pravidla maskování na klientovi a serveru a jejich omezení.                                                                                       |
| [Hlavičky a CSP](/cs/security/headers)              | Sada hlaviček na každé odpovědi, jediný vlastník content security policy, přístup z jiných originů a origin pro sdílení.                          |
| [Air-gapped nasazení](/cs/security/airgap)          | Co `AIR_GAP=1` vymaže, co záměrně zůstává, co opouští hostitele, a offline balík.                                                                 |
| [Licence](/cs/security/licensing)                   | Licenční soubor podepsaný dodavatelem a ověřovaný offline, co omezuje a jak expirace degraduje.                                                   |

## Tři fakta do každého review [#facts]

* **Oddělení je fyzické.** Workspace je vlastní databázový soubor a vlastní prefix v objektovém úložišti; dotaz nemá sdílenou tabulku, kterou by překročil, a token se ověří proti workspace, kterému je určený, dřív, než se k němu dostane.
* **Šifrovaný text je kontrakt úložiště.** Každý blob i obsahové sloupce vyjmenované v [Šifrování a klíčích](/cs/security/encryption#sealed) jsou zapečetěné vlastním klíčem workspace dřív, než dorazí na disk nebo do objektového úložiště; poskytovatel, cache blobů i archiv záloh drží jen šifrovaný text. Zbytek databáze chrání šifrování svazku.
* **Nic tady nepotřebuje internet.** Licence se ověřuje offline proti klíči dodavatele zabudovanému do serveru; jednotné přihlášení, pošta, trackery i feed aktualizací CLI mají podobu uvnitř sítě; a `AIR_GAP=1` vymaže to, co ji nemá.