Security by design.
Security baseline Production SALVIAN AI berjalan sebagai kontrol aplikasi. Integrasi enterprise eksternal tidak pernah diklaim aktif sebelum provider dan otorisasi sebenarnya tersedia.
Origin, distributed rate limiting, dan passkey foundation.
Implemented controls
Session-based authentication with password hashing and secure session cookies.
Same-origin checks, bounded JSON input, request IDs and API rate limiting.
CSP, HSTS in production, COOP, CORP and DNS prefetch controls.
Privacy-preserving audit events with hashed client IP data and protected audit APIs.
Dedicated Control Center authorization separated from organization roles.
Multi-tenant organization foundations, policies, approvals and usage traces.
Secure admin access
Platform-admin access hanya diberikan dari server-side configuration. Client tidak dapat mempromosikan dirinya menjadi administrator.
ADMIN_EMAILS=your-login-email@example.com NEXT_PUBLIC_APP_URL=https://your-production-domain REQUIRE_EMAIL_VERIFICATION=true
Rahasia tidak disimpan di source code. Control Center tetap terlindungi jika bootstrap admin belum dikonfigurasi.
Enterprise integrations — optional
Semua fondasi integrasi sudah disiapkan. Status berikut mengikuti konfigurasi Production yang sebenarnya; tidak ada pekerjaan aplikasi yang disamarkan sebagai selesai.
Aktif otomatis setelah provider OIDC Production dikonfigurasi.
Aktif otomatis setelah metadata IdP dan storage/rate-limit Production tersedia.
Aktif otomatis setelah konfigurasi tenant SCIM Production tersedia.
Passkeys memakai production origin; MFA memerlukan secret server-side.
Event delivery siap; endpoint eksternal dihubungkan melalui webhook Production.
Verification boundary
Independent penetration testing, load testing, compliance attestations, regional infrastructure, dan customer-managed keys adalah verifikasi/infrastruktur eksternal. Aplikasi tidak akan mengklaim hal tersebut telah dilakukan tanpa bukti provider atau audit yang sebenarnya.
Implemented controls above are the product boundary. External verification remains an external operational artifact, not a hidden application task.