Politica de securitate — Markdown Mode for Jira

Ultima verificare: 28 octombrie 2026. Furnizor: PPFTEC S.R.L.

Această politică descrie arhitectura și practicile de securitate ale Markdown Mode for Jira, aplicația noastră pentru Jira Cloud care editează descrieri și comentarii din meniul Actions al ticketului. Politica de confidențialitate explică separat confidențialitatea și corespondența de suport.

Arhitectura aplicației și tratarea datelor

Aplicația folosește Atlassian Forge Custom UI. Atlassian găzduiește resursele statice, iar editorul rulează în browserul utilizatorului, în Jira. Aplicația nu declară funcții Forge, bază de date proprie sau stocare Forge, backend remote ori destinații externe de rețea. PPFTEC nu operează un server al aplicației care primește conținut Jira de la acest editor. Site-ul de documentație PPFTEC este un serviciu separat, găzduit pe Cloudflare.

În timpul utilizării, aplicația citește și procesează în browser descrieri, comentarii, identificatori de tickete și metadatele relevante despre autorii comentariilor. Convertește între Markdown și formatul nativ Jira, Atlassian Document Format (ADF), afișează previzualizarea și trimite descrierile sau comentariile către Jira când utilizatorul alege salvarea. Conținutul salvat rămâne în site-ul Jira al clientului, sub controalele Atlassian și configurația clientului. Dezinstalarea aplicației nu șterge acel conținut Jira.

Aplicația păstrează două preferințe de afișare, aranjarea editorului și modul de tratare a rândurilor, în localStorage din browser, cu prefixul mmj:. Nu folosește acea stocare pentru conținutul ticketelor, ciorne de comentarii sau credențiale. Conținutul nesalvat este ținut în memoria paginii active; închiderea paginii nu reprezintă o garanție de ștergere securizată. Copy as Markdown pune conținutul în clipboard. Fișierele, copiile din clipboard și conținutul lipit în alte instrumente depind de dispozitivul și practicile de partajare ale clientului, nu de un serviciu separat de criptare sau ștergere oferit de aplicație.

Acces și permisiuni

Apelurile API Jira folosesc bridge-ul requestJira ca utilizatorul care interacționează cu aplicația. Scope-urile declarate sunt read:jira-work, pentru citirea conținutului și a permisiunilor, și write:jira-work, pentru actualizările solicitate ale descrierilor și comentariilor. Permisiunile Jira și scope-urile aplicației limitează accesul; Jira verifică autorizarea operațiunilor API de scriere. Verificarea licenței sau un indicator de permisiuni din editor nu înlocuiește această verificare.

Aplicația nu solicită parole Jira, tokenuri API personale sau credențiale ale unui cont de serviciu. Nu oferă un cont backend PPFTEC cu acces independent la site-ul Jira al clientului.

Protecția platformei și măsurile aplicației

Transportul și conținutul stocat în Jira folosesc controalele platformei Atlassian. PPFTEC nu are o bază de date separată cu conținutul clienților sau un serviciu propriu de chei de criptare pentru aplicație. Cerințele de securitate Forge identifică măsurile oferite de platformă; modelul de responsabilitate partajată lasă logica aplicației, permisiunile, tratarea intrărilor și mentenanța în responsabilitatea dezvoltatorului.

Previzualizarea folosește componente React și nu execută Markdown lipit drept HTML sau cod. Utilizatorul poate verifica rezultatul propus înainte de salvare. Elementele Jira care nu pot fi reprezentate în Markdown sunt păstrate drept conținut protejat. Fluxul descrierii verifică dacă aceasta s-a schimbat înainte de salvare; este o măsură de utilizare, nu o garanție de blocare atomică împotriva tuturor editărilor concurente. Tratează conținutul lipit ca nefiabil și verifică-l înainte de salvare sau copiere în altă parte.

Raportarea vulnerabilităților și mentenanța

Raportează confidențial vulnerabilitățile suspectate la support@ppftec.com. Include numele aplicației, versiunea afectată, impactul și pași minimi de reproducere, de preferat cu date fictive. Nu trimite parole, tokenuri sau conținut confidențial din tickete. Nu accesa datele altor utilizatori și nu perturba site-ul unui client pentru a investiga.

Procesul de mentenanță presupune evaluarea aplicabilității și severității rapoartelor și alertelor privind dependențele, pregătirea remedierii, verificări de regresie relevante și autorizarea lansării înainte de deploy. Verificările din repository includ verificări de tipuri, teste automate, build, validarea manifestului și auditul dependențelor de producție. O verificare sau un audit nu dovedește absența vulnerabilităților. Urmăm politica Atlassian Marketplace de remediere a vulnerabilităților și cerințele Atlassian aplicabile cazului. Informăm autorul raportului despre progresele importante. Această pagină nu promite un termen fix separat pentru confirmare sau rezolvare.

Răspunsul la incidente și comunicarea

Suspiciunea compromiterii unui cont folosit pentru mentenanță, o lansare neintenționată sau o posibilă divulgare ori modificare neautorizată a conținutului clientului este investigată potrivit procesului scris PPFTEC de răspuns la incidente. Evaluăm întinderea și impactul, păstrăm dovezile relevante, alegem măsurile de limitare și remediere, verificăm corecția și documentăm lecțiile învățate.

Colaborăm cu Atlassian prin procesul său de suport de securitate, potrivit ghidului de gestionare a incidentelor. Când clienții pot fi afectați, comunicăm impactul cunoscut și măsurile de protecție prin canalele disponibile de suport sau contact tehnic. Comunicarea separă faptele confirmate de întrebările nerezolvate și evită expunerea inutilă a datelor clienților.

Jurnalizare, limite și actualizarea politicii

Aplicația nu include jurnalizarea conținutului utilizatorilor sau integrări de telemetrie de la terți și nu declară funcții backend care ar genera loguri backend ale aplicației. Nu este un serviciu de monitorizare continuă a conținutului clienților. Atlassian și furnizorul de găzduire al documentației pot procesa date tehnice operaționale pentru propriile servicii. Corespondența de suport și securitate este separată de datele procesate de editor.

Această politică nu afirmă existența unor teste de penetrare independente, a unei certificări ISO sau a unui centru de operațiuni de securitate disponibil permanent. Nu garantează că incidentele nu pot apărea. Revizuim politica atunci când arhitectura aplicației sau procesul de securitate se schimbă și actualizăm data verificării. Pentru utilizare, vezi Suport și documentație.