Усе, що потрібно вашому фахівцю з безпеки

1. Підсумок

2. Потік даних

1. Користувач починає зйомку через значок на панелі інструментів, комбінацію клавіш або меню правої кнопки миші. Тоді Chrome надає тимчасовий доступ до цієї однієї вкладки (activeTab).
2. Chrome рендерить видиму область. Для всієї сторінки розширення прокручує вкладку, складає частини в памʼяті й відновлює сторінку.
3. Зображення відкривається на сторінці, вбудованій у розширення (chrome-extension://). Вона не завантажує віддалений код, шрифти чи аналітику.
4. Користувач розмиває, обрізає й анотує. Розмиття записується в пікселі.
5. Користувач копіює зображення в буфер обміну або завантажує PNG. Закриття вкладки відкидає його. Ніщо не залишило пристрій.

Щоб перевірити: відкрийте chrome://extensions, увімкніть «Режим розробника», перегляньте service worker Screshot і стежте за вкладкою Network під час зйомки. Жоден запит не залишає браузер.

Обмін через посилання (необовʼязковий, із наскрізним шифруванням)

1. Необовʼязково. Користувач натискає Share і входить через Google (chrome.identity), лише першого разу.
2. Перший обмін налаштовує ключі шифрування користувача в браузері: пару ключів ECDH P-256, приватний ключ якої обгорнуто ключем доступу (WebAuthn PRF) або кодом відновлення.
3. Браузер створює випадковий ключ AES-256-GCM для цього знімка екрана й шифрує ним відредаговане зображення та мініатюру.
4. У Cloudflare R2 завантажуються лише зашифровані файли. Ключ зберігається обгорнутим для відкритого ключа власника, ніколи у відкритому вигляді.
5. Запрошені люди отримують ключ, обгорнутий для їхнього власного відкритого ключа. Для обміну в режимі «Усі, хто має посилання» ключ розміщується в посиланні після #, а цю частину браузери не надсилають на сервери.
6. Браузери глядачів отримують зашифрований файл за підписаною адресою, термін дії якої спливає протягом кількох хвилин, і розшифровують його локально.

Щоб перевірити: поділіться знімком екрана й перегляньте завантаження. Тіло запиту — файл із зашифрованих байтів, що починається з SCE1, а не зображення, і жоден запит не містить ключа.

3. Дозволи

Жодних дозволів для хостів і жодного доступу до історії, файлів cookie чи завантажень.

4. Перелік даних

5. Субпроцесори

Зйомка й редагування не використовують субпроцесорів. Вебсайт і необовʼязковий обмін використовують такі сервіси:

6. Відповіді на анкету

Чи зберігає, обробляє або передає продукт дані клієнтів?

Не для зйомки й редагування: знімки екрана залишаються на пристрої користувача. Якщо користувач вирішує поділитися знімком екрана, Screshot зберігає його з наскрізним шифруванням разом із метаданими облікового запису й обміну, переліченими вище. Screshot не може розшифрувати зображення.

Які мережеві зʼєднання встановлює розширення?

Жодних під час зйомки, редагування, копіювання чи завантаження. Воно звертається до screshot.com, лише коли користувач входить або ділиться, і відкриває сторінки screshot.com у звичайних вкладках для посібника-привітання після встановлення вручну та для необовʼязкового опитування після видалення.

Чи містить воно аналітику, телеметрію чи сторонні скрипти?

Ні. Ніщо не завантажується з віддалених серверів, і в розширенні немає аналітики чи звітів про збої.

Які дозволи браузера воно запитує?

activeTab, scripting, contextMenus, storage і identity. Жоден не викликає попередження під час встановлення, і дозволів для хостів немає. Див. таблицю вище.

Чи може воно читати інші вкладки, історію перегляду чи файли cookie?

Ні. activeTab надає доступ лише до вкладки, яку користувач вирішує зняти, і лише в цей момент.

Чи шифруються дані під час передавання та зберігання?

Так. Усе передається через HTTPS, а знімки екрана, якими поділилися, наскрізно шифруються в браузері перед завантаженням на сервер (AES-256-GCM), тож вони зберігаються зашифрованими ключами, яких Screshot не має. Подробиці — в огляді безпеки.

Чи можуть працівники Screshot переглядати знімки екрана, якими поділилися?

Ні. Працівники можуть бачити метадані, як-от назви й адреси електронної пошти запрошених, але не зображення. Єдиний виняток — скарга на зловживання, автор якої вирішує додати ключ, щоб модератори могли перевірити цей один знімок екрана.

Що станеться, якщо користувач втратить ключ доступу?

Він розблоковує кодом відновлення, а потім може додати новий ключ доступу. Якщо втрачено обидва, знімки екрана, якими він поділився, не зможе розшифрувати ніхто, зокрема Screshot.

Чи підтримується SSO, SCIM або рольовий доступ?

Наразі ні. Для зйомки обліковий запис не потрібен. Обмін використовує вхід через Google, і кожен власник керує доступом для кожного знімка екрана окремо: лише я, запрошені люди або всі, хто має посилання.

Як видаляються дані?

Користувачі самі видаляють знімки екрана. Кошик стирається через 30 днів або одразу за допомогою «Видалити назавжди», як із бази даних, так і зі сховища. Видалення облікового запису в Налаштуваннях одразу стирає все.

Як його розгортають і видаляють?

Примусове встановлення через Google Admin console, Microsoft Intune, Group Policy або профіль macOS, а видалення — через ту саму політику. Див. посібник з розгортання.

Як доставляються та перевіряються оновлення?

Через Chrome Web Store, який перевіряє кожну версію. Якщо нова версія запитує дозвіл, що показує попередження, Chrome вимикає її, доки користувач або адміністратор не схвалить.

Чи можуть адміністратори контролювати, яка версія працює?

Політика Chrome може дозволити, заблокувати чи примусово встановити розширення за ID. Закріплення конкретної версії Chrome Web Store не підтримує.

Чи проходив продукт незалежний тест на проникнення?

Ще ні. Щойно його буде завершено, ми поділимося результатами з клієнтами за NDA.

Як ви працюєте з вразливостями?

Повідомляйте про них на contact@screshot.com. Ми підтверджуємо отримання повідомлень і просимо розумний час на виправлення до публічного розкриття.

Як ви повідомлятимете нас про інциденти безпеки чи суттєві зміни?

Ми публікуємо зміни дозволів або обробки даних на сторінці безпеки та в політиці конфіденційності до випуску версії, яка їх вносить.

7. Заплановані зміни

Ми плануємо політику Chrome, яка дасть адміністраторам змогу тримати обмін вимкненим для всієї організації, а також незалежний тест на проникнення. Зміни потоку даних, збережених даних чи субпроцесорів спершу буде опубліковано тут.