Bezpečnost
Jak oSpolek chrání data spolků a jak ho testujeme · aktualizováno 16. 10. 2026
Ve zkratce: data spolku neleží na našem serveru, ale u vás. Aplikace má jen nezbytná oprávnění a každou změnu prověřují automatické bezpečnostní testy.
Pravidelně ji také podrobujeme penetračním testům. Poslední proběhl v říjnu 2026 a vážnou chybu nenašel.
1. Data spolku zůstávají u vás
- Aplikace běží celá ve vašem prohlížeči. Data spolku (účetnictví, členové, dokumenty, přílohy) se ukládají jen tam, kam je uložíte: do prohlížeče, do složky v počítači nebo do cloudu spolku. Vydavatel k nim nemá přístup a aplikace je nikam jinam neposílá.
- Neexistuje centrální databáze všech spolků, kterou by šlo napadnout a vytěžit.
- Cloud spolku (Google Disk, OneDrive, Dropbox): aplikace vidí jen svou vlastní složku, ne zbytek disku. Na Google Disku jde o oprávnění drive.file, na OneDrivu a Dropboxu o složku aplikace. Přihlašuje se přímo u poskytovatele, heslo k účtu aplikace nikdy nevidí.
- Trezor přístupů (hesla k bankovnictví, webům apod.) je šifrovaný přímo v počítači algoritmem AES-256-GCM. Klíč se odvozuje z hlavního hesla (PBKDF2-SHA256, 600 000 iterací). Bez hlavního hesla trezor nepřečte nikdo, ani vydavatel.
- Aplikace nepoužívá sledovací cookies ani analytické nástroje. Podrobnosti v Zásadách ochrany osobních údajů.
2. Ochrana aplikace
- Provoz jen přes HTTPS (TLS 1.2 a 1.3, starší verze jsou zakázané), prohlížeč si to pamatuje (HSTS).
- Přísná bezpečnostní politika obsahu (CSP) omezuje, odkud se smí načítat skripty a kam se smí aplikace připojit. Aplikaci nejde vložit do cizí stránky.
- Texty (stanovy, smlouvy, šablony) se před zobrazením čistí. Škodlivý kód vložený do dat se nespustí ani ve spolku, který sdílí více lidí. Rizikové přílohy (např. SVG nebo HTML) se stahují místo otevření.
- Obnova ze zálohy a otevírání sdílených dat kontrolují podvržené nebo poškozené soubory (příliš velké archivy, nebezpečné názvy souborů, skryté databázové spouštěče).
- Licence jsou digitálně podepsané (Ed25519) a ověřují se bez spojení se serverem.
3. Jak aplikaci testujeme
| Při každé změně aplikace | Automatické testy včetně bezpečnostních (XSS, zálohy, licence, trezor, přihlášení ke cloudu, bezpečnostní hlavičky), kontrola zranitelných knihoven a hledání uniklých hesel a klíčů ve zdrojovém kódu. Testy spouštíme i před každým vydáním. Když automatická kontrola něco najde, sama založí úkol k opravě. |
|---|---|
| Každý týden | Testy hotové aplikace ve skutečném prohlížeči (Chrome): pokusy o XSS v datech, škodlivé přílohy, vložení do cizí stránky, kontrola hlaviček. |
| Průběžně | Automatické upozornění na zranitelnosti v použitých knihovnách a jejich rychlá aktualizace. |
| Penetrační testy | Simulované útoky nástrojem OWASP ZAP (přes 130 typů útoků: XSS, injekce, procházení adresářů, SSRF a další), fuzzing serverových funkcí, kontrola šifrování a ruční prověrka. Poslední test 16. 10. 2026: žádný vážný nález. Drobné nálezy byly opraveny ještě týž den. |
Útočné testy běží na oddělené testovací kopii aplikace, nikdy proti provozu, který používají spolky.
4. Co je ve vašich rukou
- Data uložená v počítači jsou tak bezpečná jako počítač sám: zamykejte ho, aktualizujte systém a prohlížeč.
- Účet spolku u cloudové služby chraňte silným heslem a dvoufázovým ověřením.
- Zálohujte. Aplikace umí zálohu jedním klikem i automaticky.
- Hlavní heslo trezoru si zapamatujte nebo uložte na bezpečné místo. Bez něj trezor otevřít nejde.
5. Našli jste bezpečnostní chybu?
Napište nám na hornicek.jiri@gmail.com (předmět „oSpolek – bezpečnost“) nebo použijte v aplikaci Nahlásit problém. Uveďte, co se děje a jak chybu zopakovat. Ozveme se do 7 dnů. Závažné chyby opravujeme přednostně a do opravy je nezveřejňujeme. Testujte prosím jen na vlastních datech a nenarušujte provoz ostatních.
Zpět do aplikace · Zásady ochrany osobních údajů · Podmínky užívání