Bezpieczeństwo w CzynszOK
Co się dzieje z danymi z Twojego banku, kto jeszcze ich dotyka, co robimy w kodzie i jak zgłosić lukę. Piszemy tylko to, co możemy udowodnić.
Połączenie z bankiem
Jedno sprawdzenie to jeden odczyt, tylko do odczytu. Zasada jest jedna: czytamy, liczymy, usuwamy.
Hasło
Logujesz się w swoim banku, nie u nas. Loginu ani hasła nigdy nie widzimy i nie zapisujemy.
Kto pobiera dane
Enable Banking Oy pobiera dane z Twojego banku. To zarejestrowany dostawca usług dostępu do informacji o rachunku (AISP) pod nadzorem fińskiego urzędu FIN-FSA, wpisany do rejestru EBA.
Jakie dane
Właściciela rachunku, wpływy i przelewy z okresu do 12 miesięcy. Tylko do odczytu: nie możemy nic zlecić ani przelać. Przy sprawdzeniu kaucji czytamy też salda kont.
Jak długo
Odczyt jest jednorazowy. Dostęp u dostawcy zamykamy zaraz po odczycie, a zgoda w banku i tak wygasa sama, najpóźniej po około 72 godzinach.
Jak cofnąć zgodę
W aplikacji: „Usuń” przy połączonym banku zamyka dostęp do tego banku, a w „Konto i dane” przycisk „Usuń konto i wszystkie dane” kasuje wszystko od razu. W banku: zgodę dla zewnętrznego dostawcy zamkniesz w bankowości internetowej, jeśli Twój bank ją tam pokazuje. Nie możesz się zalogować? Napisz: pomoc@czynszok.pl.
Kto jeszcze dotyka danych
Korzystamy z kilku firm. Przy każdej piszemy to, co ona sama publikuje o swoim bezpieczeństwie, i linkujemy jej stronę. To certyfikaty i audyty tych firm, nie nasze.
Enable Banking Oy · odczyt z banku
Na swojej stronie podaje, że jest zarejestrowanym dostawcą usług dostępu do informacji o rachunku (AISP) pod nadzorem fińskiego urzędu FIN-FSA. Nie podaje tam certyfikatów bezpieczeństwa, więc żadnych mu nie przypisujemy.
Neon · baza danych
Podaje coroczne audyty SOC 2 typu II oraz audyty zgodności z ISO/IEC 27001 i 27701.
Stripe · płatności
Podaje certyfikat PCI Service Provider Level 1 oraz coroczne raporty SOC 1 i SOC 2 typu II. Dane karty wpisujesz w oknie Stripe, nie u nas.
Strony tych firm sprawdziliśmy 13.10.2026. CzynszOK nie ma własnego certyfikatu ISO 27001 ani SOC 2 i nie twierdzimy inaczej.
Co robimy w kodzie
- Surowe dane z banku (transakcje, salda, kwoty, numery rachunków) usuwamy w tej samej operacji, która zapisuje wynik, zanim zobaczysz ekran z wynikiem.
- To, co liczymy z Twoich wpływów (np. maksymalny czynsz), i dostęp do sesji u dostawcy trzymamy w bazie zaszyfrowane algorytmem AES-256-GCM. Maksymalny czynsz znika po 24 godzinach.
- Nie ma haseł. Logujesz się jednorazowym kodem z e-maila, a pięć błędnych prób unieważnia kod.
- Każda trasa API ma zapisaną regułę dostępu, a bramki w CI pilnują, żeby nowa trasa jej nie pominęła.
- Limity zapytań chronią logowanie, sprawdzanie kodów certyfikatów i start sprawdzeń przed zalewem.
- Strony wysyłają nagłówki bezpieczeństwa, m.in. Content-Security-Policy i zakaz osadzania w ramkach.
- Certyfikat unieważnisz sam, a strona weryfikacji pokazuje jego stan na żywo.
Zgłoś lukę w zabezpieczeniach
Widzisz błąd, który mógłby narazić czyjeś dane? Napisz na pomoc@czynszok.pl: co widzisz i jak to powtórzyć. Prosimy, żeby nie wchodzić w cudze dane. Ten sam adres jest w pliku security.txt.
Testy bezpieczeństwa
Tylko to, co dzieje się dziś i da się sprawdzić w naszym repozytorium:
- Przy każdej zmianie kodu: sprawdzanie typów, lint i bramki, które pilnują m.in. reguł dostępu tras, braku danych osobowych w logach i granic między warstwami kodu.
- Przy każdej zmianie kodu: testy jednostkowe i testy end-to-end w przeglądarce.
- Przy każdej zmianie kodu: skan zależności (npm audit, poziom krytyczny) i skan sekretów w repozytorium (gitleaks). Oba oblewają kontrolę, gdy coś znajdą.
- Model zagrożeń (STRIDE i LINDDUN) z 6 października 2026, do którego wraca każda nowa funkcja.
- Przy każdej zmianie kodu: analiza statyczna kodu (Semgrep). Znalezisko o poziomie ERROR oblewa kontrolę.
- Przy każdej zmianie kodu: skan OWASP ZAP (baseline) uruchomionej aplikacji, na jej stronach publicznych. Nowe znaleziska blokują build; raport z każdego uruchomienia jest zapisywany.
- Przy każdym pull requeście: skan całej historii repozytorium w poszukiwaniu żywych, zweryfikowanych sekretów (TruffleHog). Oblewa kontrolę, gdy jakiś znajdzie.
- Przy każdym pull requeście i co tydzień: skan zależności OSV-Scanner. Nowa znana podatność blokuje build.
- Co tydzień Dependabot otwiera zgrupowane pull requesty z aktualizacjami zależności, które znalazł (dependabot.yml); cotygodniowa rutyna scala wszystkie otwarte w jeden pull request i pracuje nad nim, aż przejdą wszystkie blokujące kontrole; scala go człowiek.
Jak działają te kontrole i co dało pierwsze uruchomienie: wpis o naszych kontrolach
Część grupy veinito.
CzynszOK należy do grupy veinito.: ClassKasa, CzynszOK, Kasandro i veinito.com. CzynszOK ma własny kod i własną bazę danych.