Criptare în Tranzit
TLS 1.2+ enforced pe toate conexiunile; Let's Encrypt, HSTS; mTLS sau API token pentru furnizorul de semnătură electronică
Principiu
Tot traficul — inbound și outbound — al platformei SSM.ro este criptat în tranzit. Nu există canale de comunicare nesecurizate HTTP.
Conexiuni Externe (Inbound)
| Conexiune | Protocol | Certificate |
|---|---|---|
| Utilizatori → Heroku Router | HTTPS / TLS 1.2+ | Wildcard Let's Encrypt (gestionat de echipa de suport tehnic) |
| HSTS | Header Strict-Transport-Security activat via gem secure_headers | — |
config.force_ssl = true | Toate cererile HTTP sunt redirecționate la HTTPS în producție și staging | — |
Conexiuni Interne Heroku
| Conexiune | Protocol | Rețea |
|---|---|---|
| Web dyno ↔ Heroku Postgres | TLS în tranzit | Rețea privată Heroku |
| Web dyno ↔ Heroku Redis | TLS în tranzit | Rețea privată Heroku |
| Worker dyno ↔ Heroku Redis | TLS în tranzit | Rețea privată Heroku |
Traficul intern este confinat în rețeaua privată Heroku și nu traversează internetul public.
Conexiuni Outbound către Servicii Externe
| Destinație | Protocol | Autentificare |
|---|---|---|
| AWS API Gateway | HTTPS | Autentificare la nivel de gateway (IAM) |
| AWS S3 | HTTPS (autentificat) | Credențiale AWS cu least-privilege |
| AWS CloudWatch Logs | HTTPS | Credențiale AWS IAM-scoped |
| Furnizor Semnătură Electronică | HTTPS + mTLS (certificat client) sau API token | Depinde de furnizor și configurare |
| Postmark | HTTPS | Server token dedicat per mediu (Model Partajat) |
| AWS SES | HTTPS | Credențiale AWS IAM-scoped (Model Dedicat) |
| New Relic | HTTPS | Cheie per cont |
| Sentry | HTTPS | DSN per proiect |
| IdP federat (client) | HTTPS | OIDC standard (Partajat) / SAML 2.0 (Enterprise) |
Furnizor Semnătură Electronică — Autentificare
Comunicarea cu furnizorul de semnătură electronică se face prin HTTPS, cu două metode de autentificare posibile în funcție de furnizor și configurare:
- mTLS (mutual TLS) — atât serverul, cât și clientul (aplicația SSM.ro) se autentifică reciproc prin certificate; garantează că numai aplicația cu certificatul client valid poate solicita semnarea
- API token — token dedicat per mediu/integrare, transmis în header HTTPS securizat
Restaurare Backup — Notă Importantă
La restaurarea unui backup Heroku Postgres, se utilizează întotdeauna URL HTTPS pentru a asigura că datele rămân criptate în tranzit. Restaurarea prin HTTP nu este suportată de Heroku.
Gestiunea Certificatelor TLS
Model Partajat (SaaS)
Certificatele de la Heroku Router sunt certificate wildcard Let's Encrypt, gestionate (emise și reînnoite) de echipa de suport tehnic SSM.ro, nu de Heroku ACM. Echipa monitorizează expirarea și reînnoiește certificatele înainte de termen, încărcându-le în Heroku.
Model Enterprise (Dedicat)
În infrastructura AWS dedicată per client, certificatele TLS sunt gestionate integral de AWS (AWS Certificate Manager), cu emitere și reînnoire automate.