Sikkerhet

CV-ene dine bygges på dokumentasjon du eier. Jobben vår er å passe på at den dokumentasjonen bare er tilgjengelig for deg. Slik gjør vi det.

Innlogging og sesjoner

• Passord lagres kun som saltet kryptografisk hash - aldri i klartekst.
• Sesjoner håndteres med sikre cookies (HttpOnly, Secure) og utløper automatisk.

Tilgangskontroll

Hver eneste skrivende API-rute sjekker to ting før noe skjer: at du er innlogget, og at ressursen du prøver å nå faktisk tilhører deg. Data er isolert per bruker, og endringer skjer i databasetransaksjoner slik at halvferdige tilstander ikke oppstår.

Vern i AI-laget

• All tekst du limer inn (utlysninger, kravtekst) pakkes inn med eksplisitte anti-injeksjonsregler før den når AI-modellen. Tekst i en utlysning kan ikke gi AI-en nye instruksjoner.
• AI-en får kun dine egne kilder som kontekst, og hver generert CV-setning må peke tilbake på en konkret kilde. Krav uten dekning slipper aldri inn i CV-en.

Henting av eksterne lenker

Når du peker Spiss på en nettside eller GitHub-profil, hentes innholdet med SSRF-vern: adresser slås opp og valideres, interne og private nettverk blokkeres, og omdirigeringer følges kun etter ny validering.

Infrastruktur

Applikasjonen kjører på Vercel og databasen hos dbhost.app. All trafikk mellom deg og Spiss går over HTTPS. Hemmeligheter og nøkler ligger i miljøvariabler, aldri i kodebasen.

Meld fra om sårbarheter

Funnet noe som ser ut som et sikkerhetshull? Send en e-post til stian.larsen@mac.com, helst med steg for å reprodusere. Ansvarlig varsling settes stor pris på, og du får svar raskt.