Sicurezza
Controlli di sicurezza presenti oggi nel prodotto: dichiarati chiaramente, senza risarcimenti di marketing.
Proprietario della redazione: Security + Growth. Ultima revisione 2026-09-20. Rivedi cadenza: 90 days.
Controlli di accesso e identità
Tutti i controlli seguenti sono attivi per i tenant di produzione.
| Controllo | Dettaglio |
|---|---|
| Controllo degli accessi basato sui ruoli (RBAC) | ~60 autorizzazioni denominate; ogni azione dello staff viene gestita a livello di applicazione Basato su |
| Autenticazione a più fattori (MFA) Basato su | TOTP; applicato su tutti i conti del personale |
| Accesso allo staff OIDC | Lo staff può autenticarsi tramite il tuo provider OIDC; no EndorsedSign password memorizzata |
| Politica della password sulle modifiche delle credenziali | Complessità minima applicata dalla piattaforma su tutti i percorsi di creazione e modifica delle password |
| Gestione delle sessioni | Token di sessione di breve durata; revocabile su richiesta |
| Controllo delle origini consentite per inquilino | Embed e API accesso limitato alle origini registrate; origini non registrate rifiutate |
Dati e controlli di audit
| Controllo | Dettaglio |
|---|---|
| Isolamento dei dati del tenant | Ambito del tenant su ogni record di proprietà del tenant. Un token valido non può recuperare record da un altro tenant. |
| Crittografia a riposo | Documenti e record di controllo crittografati quando inattivi nell''archiviazione con ambito tenant |
| Traccia di controllo di sola aggiunta | Registro eventi concatenato tramite hash; ogni evento fa riferimento all''hash precedente; la manomissione è rilevabile |
| ID di correlazione su tutte le richieste API | Ogni chiamata API porta un ID di correlazione X restituito nella risposta; collega le richieste agli eventi di audit e alle consegne webhook |
| Nessun PHI nel contenuto della notifica | Gli organismi di notifica contengono solo link; nessun contenuto del documento, nessun PHI, nessun allegato nell''e-mail o SMS |
| Cancello di eliminazione PHI per due persone | Abilitato con profilo HIPAA; la cancellazione del documento richiede la conferma di due addetti autorizzati; evento registrato nella traccia di controllo |
Come viene applicato il confine
I documenti, le buste, i modelli, i clienti e gli eventi di controllo di proprietà del tenant contengono un identificatore del tenant che viene controllato a ogni lettura e scrittura. I percorsi di archiviazione vengono generati da tale identificatore in modo che i file per un tenant non vengano mescolati con un altro. Le sessioni del personale sono vincolate a un inquilino. Questi sono vincoli di prodotto, non linee guida.
Non pubblichiamo i nomi dei marchi dei fornitori per la firma, l''archiviazione o la consegna su questo sito. Le funzioni sono elencate nella pagina dei subresponsabili del trattamento; le identità vengono divulgate in base a un accordo di non divulgazione.
Attestati indipendenti e controlli aziendali
Questi controlli sono ora disponibili per ambienti regolamentati e aziendali.
| Articolo | Stato |
|---|---|
| Rapporto di certificazione SOC 2 | Disponibile con NDA durante il controllo di sicurezza |
| SAML SSO | Live per inquilini aziendali |
| Residenza dati UE | Live per piani idonei e flussi di lavoro regolamentati |
| Firme qualificate (QES) | Live per giurisdizioni e profili di firma supportati |
| Prove di test di penetrazione | Condiviso attraverso il processo di prova e la revisione della sicurezza del cliente |
Le prove di controllo vengono condivise attraverso il processo di prova della fiducia.
Segnala una vulnerabilità
Se hai riscontrato un potenziale problema di sicurezza, invia un''e-mail a partnerships@endorsedsign.com con i passaggi di riproduzione. Non includere documenti del cliente o credenziali reali nel rapporto.
Confermeremo il problema entro un giorno lavorativo e ti terremo informato sui progressi della riparazione. Non intraprenderemo azioni legali contro i ricercatori di sicurezza in buona fede.