보안

Archyl은 아키텍처 데이터와 코드 분석을 보호하기 위해 여러 보안 조치를 구현합니다. 이 가이드는 보안 관행과 안전한 접근을 구성하는 방법을 설명합니다.

데이터 보호

암호화

데이터 격리

• 각 조직의 데이터가 완전히 격리됨
• 조직 간 데이터 접근 불가
• 조직 내 역할 기반 접근 제어

인증 보안

OAuth 통합

Archyl은 Git 프로바이더 인증에 OAuth를 사용합니다:

• 자격 증명 미저장: Git 비밀번호를 절대 저장하지 않습니다
• 최소 권한: 저장소 읽기 접근만 요청
• 토큰 기반: 제한된 범위의 OAuth 토큰
• 취소 가능: 프로바이더 설정에서 언제든 연결 해제 가능

지원되는 프로바이더

JWT 세션 관리

• 단기 접근 토큰 (24시간)
• 안전한 HTTP-only 쿠키
• 자동 토큰 갱신
• 로그아웃 시 세션 무효화

비공개 저장소

비공개 저장소 사용

Archyl은 비공개 저장소를 완전히 지원합니다:

1. OAuth 인증: 읽기 전용 접근 권한 부여
2. 자체 호스팅 프로바이더: 개인 접근 토큰 사용
3. 선택적 접근: 연결할 저장소를 직접 선택

접근하는 내용

저장소 분석 시:

• 파일 구조 및 경로
• 코드 내용 (분석 중에만)
• 설정 파일

저장하지 않는 내용

• 소스 코드 (메타데이터와 발견된 아키텍처만)
• Git 자격 증명
• OAuth 토큰은 암호화되고 범위가 제한됨

AI 분석 보안

AI 디스커버리 작동 방식

AI 기반 디스커버리 중:

1. 코드가 구성된 AI 프로바이더에 전송됨
2. 코드 구조만 분석됨
3. 결과는 사용자의 승인이 필요
4. 코드는 영구적으로 저장되지 않음

접근 제어

조직 역할

팀 기반 접근

• 팀 수준에서 멤버 초대
• 팀별 다른 역할
• 팀 멤버십으로 프로젝트 접근 제어

API 키 권한

• 읽기 전용 또는 읽기-쓰기 권한
• 특정 작업으로 범위 제한
• 만료일 지원
• 키 사용 감사 추적

규정 준수

데이터 처리

• GDPR 준수 데이터 처리
• 요청 시 데이터 삭제
• 언제든지 데이터 내보내기
• 제3자에게 데이터 판매 없음

인프라

• 안전한 클라우드 인프라에서 호스팅
• 정기적인 보안 감사
• 자동화된 취약성 스캔
• 인시던트 대응 절차

보안 모범 사례

조직을 위해

1. 팀 기반 접근 사용: 자격 증명을 공유하지 마세요
2. MFA 활성화: Git 프로바이더 계정을 보호하세요
3. API 키 순환: 주기적으로 키를 변경하세요
4. 접근 감사: 정기적으로 팀 멤버십을 검토하세요

AI 디스커버리를 위해

1. 승인 전 검토: 발견된 요소를 확인하세요
2. 민감한 코드에는 Ollama 사용: 분석을 로컬에 유지하세요
3. 디스커버리 범위 제한: 필요한 경로만 분석하세요
4. 민감한 파일 제외: 제외 패턴을 구성하세요

공유를 위해

1. 만료일 설정: 불필요하게 영구 링크를 만들지 마세요
2. 공유 링크 검토: 정기적으로 활성 공유를 감사하세요
3. 팀 접근 사용: 내부 사용 시 공유 링크보다 팀 멤버십을 우선하세요

보안 문제 보고

보안 취약점을 발견하면:

1. 공개적으로 공개하지 마세요
2. security@archyl.com으로 이메일을 보내세요
3. 상세한 재현 단계를 포함하세요
4. 24시간 이내에 응답하겠습니다

다음 단계

• 팀 협업 - 팀 접근 구성
• 인증 - 안전한 API 접근
• AI 디스커버리 - AI 프로바이더 구성