מרכז האמון של LeonAI

ISO/IEC 27001:2022

ISO/IEC 27001:2022 · תעודה 1126333 · IQNet & IQSR

ההסמכה חלה על כל החברה — LeonAI LTD — כארגון אחד, ולא על מוצר בודד. תעודת ההסמכה ונוסח היקף ההסמכה המלא יתפרסמו בעמוד הזה בהקדם.

SOC 2

SOC 2 Type II examination underway with Ernst & Young (Security — Common Criteria), commenced August 2026; report expected Q1 2027.

הבדיקה נמצאת בעיצומה; הדוח הרשמי טרם התקבל, ולכן זה מה שנאמר עליה — לא יותר.

MCP for Priority

• ✓רץ על Cloud Run באזור me-west1 — תל אביב.
• ✓TLS 1.2 ומעלה בכל קפיצה — לקוח, בסיס נתונים, מטמון ו-ERP.
• ✓OAuth 2.1 עם PKCE חובה, רישום לקוחות דינמי, אימות דו-שלבי ב-TOTP ו-SSO ב-SAML/OIDC.
• ✓AES-256 באחסון מנוהל; פרטי ההתחברות ל-ERP מוצפנים נוסף לכך ב-Fernet.
• ✓אישורי הדיירים נשמרים מוצפנים ב-PBKDF2 עם 480,000 סבבים.
• ✓רשימת כתובות IP מותרות ברמת הדייר.
• ✓כל שאילתה, כל מפתח מטמון וכל אובייקט אחסון משויכים למרחב השם של הלקוח.
• ✓מיסוך אישורים ופרטים מזהים בכל מטפלי הלוג.
• ✓יומן ביקורת של כל קריאה לכלי.
• ✓יומני גישה נשמרים 24 חודשים, בהתאם לדרישת רישום הגישה שבתקנות הגנת הפרטיות (אבטחת מידע).
• ✓כתיבה כבויה כברירת מחדל, ומאושרת פעם אחת לכל פעולה באסימון חתום בתוקף 90 שניות.
• ✓אין כלל כלי מחיקה ל-ERP.
• ✓מוסמכים ISO 27001.
• ✓SOC 2 Type II בתהליך.

LeonAI Priority

• ✓רץ על Cloud Run באזור me-west1 — תל אביב — עם VPC ויציאה פרטית וסודות ב-Secret Manager.
• ✓כתובות IP יוצאות קבועות, לרשימות היתר אצלכם: 89.169.97.56 · 46.243.144.4 · 89.169.96.6.
• ✓תעבורה מוצפנת ב-TLS 1.2 ומעלה, כולל TLS 1.3.
• ✓הצפנת AES-256 באחסון, עם גיבויים יומיים מוצפנים.
• ✓פרטי החיבור נשמרים ב-connection vault של Make — LeonAI לעולם לא שומרת אותם.
• ✓כותרות וגופי אימות מנוקים מהלוגים.

SignFlow

• ✓רץ על תשתית Cloudflare.
• ✓הקבצים יושבים מאחורי proxy מאומת שנכשל סגור — אין דלי אחסון ציבורי ואין קישורים חתומים מראש.
• ✓חותם PKCS#7 שנכשל סגור: מסמך לא מסתיים בלי חותם תקין.
• ✓חותמת זמן RFC-3161 מ-DigiCert על כל מסמך שהושלם.
• ✓שרשרת ביקורת SHA-256 עם עיגון מחוץ למערכת ונקודת קצה לאימות.
• ✓שמירת מסמכים לשבע שנים כברירת מחדל, עם סירוב למחיקה בתוך התקופה.
• ✓מצב תאימות למס בישראל.
• ✓התחברות Google/Microsoft, אימות דו-שלבי ב-TOTP ו-SSO ב-SAML/OIDC.

Links

• ✓רץ על רשת הקצה של Cloudflare.
• ✓כל קישור נסרק מול Google Safe Browsing ביצירה, בעדכון ובייבוא, ונסרק שוב כל עשר דקות — עם השעיה אוטומטית ועמוד אזהרה למבקר.
• ✓מדיניות CSP ו-HSTS מחמירות.
• ✓אימות דו-שלבי ב-TOTP והתחברות ארגונית עם Google או Microsoft.
• ✓אימות כתובת המייל לפני שאפשר ליצור קישור.
• ✓מפתחות ה-API נשמרים כ-hash ומוצגים פעם אחת בלבד, עם שמונה scopes להגבלת ההרשאה.
• ✓ייצוא ומחיקה של נתונים לפי GDPR.

Secrets

• ✓רץ על רשת הקצה של Cloudflare.
• ✓השרת לעולם לא שומר את מפתח ההצפנה.
• ✓ההצפנה מתבצעת בדפדפן ב-AES-256-GCM דרך Web Crypto.
• ✓הסוד נמחק מהאחסון לפני שהתשובה נשלחת לנמען.
• ✓שלושה ניסיונות סיסמה שגויים משמידים את הסוד.
• ✓התוקף — בין חמש דקות לשלושים יום — נאכף בשכבת האחסון.
• ✓כתובות IP עוברות אנונימיזציה אחרי 30 יום, ויומני הביקורת נמחקים אחרי 90 יום.
• ✓מדיניות CSP עם nonce שנוצר מחדש לכל בקשה.