Где живут ваши данные

Что хранится на компьютере

Рабочее пространство — это обычный файл в профиле пользователя. Туда попадают коллекции запросов, тест-кейсы, переменные окружения, настройки подключения к логам и результаты прогонов. Рядом лежат журнал приложения и архивные копии рабочего пространства.

%APPDATA%\CheckCraft\

Пароли, токены и учётные данные для доступа к логам не лежат в файле открытым текстом: они шифруются и привязываются к конкретной машине и учётной записи Windows. Перенести такой файл на другой компьютер и прочитать секреты не получится.

Удаление данных выглядит ровно так, как ожидает служба безопасности: удалить папку. Ничего не остаётся ни в реестре обмена, ни на нашей стороне, потому что туда содержимое и не попадало.

Зачем приложению интернет

Соединение нужно для четырёх вещей, и все они идут на один адрес — api.checkcraft.ru, по защищённому каналу:

• Вход и лицензия. При входе передаются логин, пароль и название устройства, дальше — периодическая проверка, что лицензия ещё действует.
• Индикатор доступности сервера. Короткий запрос версии, чтобы в интерфейсе честно показывать, на связи ли лицензионный сервер.
• Обновления. При запуске приложение спрашивает номер актуальной версии. Сама сборка скачивается только после того, как пользователь нажал «Обновить».
• Отчёты о сбоях. При падении отправляется техническая карточка: версия приложения, версия ОС и Java, локаль и стек вызовов без текстов сообщений. Ни запросы, ни ответы, ни журналы туда не попадают, а отправку можно полностью выключить.

Что никогда не уходит на наши серверы

• Содержимое HTTP-запросов и ответов, включая тела, заголовки и токены.
• Тест-кейсы, коллекции, правила проверок и результаты прогонов.
• Записи логов, которые вы разбираете, и параметры подключения к Kibana или Elasticsearch.
• Адреса ваших внутренних сервисов и значения переменных окружения.
• Файлы, которые вы открываете в приложении, и содержимое журнала работы.

Что увидит безопасник в Wireshark

Это не декларация, а то, что можно снять трафиком за пять минут на тестовой машине. Картина будет такой:

• Обращение к api.checkcraft.ru: разрешение имени и защищённые соединения. Внутри — вход, проверка лицензии раз в несколько минут и короткий запрос состояния сервера.
• Один запрос версии при запуске. Загрузка новой сборки появится в трафике только в тот момент, когда пользователь согласился обновиться.
• Соединения с теми адресами, которые ввёл сам пользователь: проверяемый API, Kibana или Elasticsearch, сервис по gRPC, WebSocket-адрес. Приложение ходит туда, куда вы его отправили, и никуда больше.
• Если запущен встроенный mock-сервер — прослушивание локального порта и входящие соединения на него. Исходящего трафика он не создаёт.
• Одно соединение на 127.0.0.1: так приложение узнаёт, что уже запущено, и не открывает вторую копию. За пределы машины оно не выходит.
• Чего в трафике не будет: обращений к рекламным сетям, счётчикам аналитики, чужим облакам и файловым хранилищам.

Отчёты о сбоях видны в трафике как редкие небольшие запросы и появляются только после падения приложения или когда пользователь сам отправил сообщение о проблеме. Если политика организации не допускает и этого, отправку отключают настройкой при развёртывании.

Работа в закрытом контуре

Приложение поставляется архивом, который распаковывается и запускается без прав администратора и без записи в системные каталоги. Если постоянный доступ к интернету недопустим, предусмотрена офлайн-активация по файлу: приложение формирует запрос, лицензия выдаётся ответным файлом, и дальше программа работает без обращений наружу. Такой сценарий согласовывается отдельно — напишите об этом в заявке на бета-тестирование.

При кратковременной потере связи с лицензионным сервером работа не прерывается: приложение продолжает действовать в течение нескольких часов и повторяет проверку, когда сеть вернётся. Это сделано ради человека в командировке или за нестабильным VPN, а не ради обхода лицензии.

Как проверить это самостоятельно

Мы не просим верить на слово. На тестовой машине разумно сделать три вещи: снять трафик анализатором при обычной работе, посмотреть содержимое папки с данными и убедиться, что при отключённой сети приложение продолжает открывать и проверять сохранённые данные. Всё описанное выше проверяется этими способами.

Порядок обработки персональных данных и состав сведений об аккаунте описаны в политике обработки персональных данных, условия использования — в лицензионном соглашении. Остальные документы собраны на странице документов.