Bezpieczeństwo · stan na 13 października 2026

Jak chronimy połączenie z bankiem i co możemy udowodnić.

Kasandro czyta Twoje konta przez Enable Banking, tylko do odczytu. Poniżej: co dzieje się przy łączeniu banku, kto jest dostawcą, co robi kod, jak zgłosić dziurę i jakie testy zrobiono. To, co działa, oddzielamy od tego, co jest w planie.

Co już działa, a co jest w budowie. Stan na 13 października 2026: strony publiczne są online, aplikacja (łączenie banków) jest w budowie. Opis połączenia z bankiem poniżej to projekt, według którego aplikację budujemy, nie działający system. Napiszemy tu, kiedy ruszy.

Połączenie z bankiem w pięciu pytaniach

Zanim połączysz bank

Czy wpisuję tu hasło do banku?: Nie. Logujesz się na stronie lub w aplikacji swojego banku. Kasandro nigdy nie widzi loginu, hasła ani numeru karty.
Kto pobiera dane?: Enable Banking Oy, zarejestrowany dostawca usługi dostępu do informacji o rachunku, nadzorowany przez fiński FIN-FSA. To on przeprowadza logowanie i zgodę w banku, a Kasandro dostaje dane rachunków, na które pozwolisz. Jego własna polityka prywatności dotyczy tego kroku.
Jakie dane?: Tylko odczyt, tylko konta, które wybierzesz: transakcje (data, kwota, kontrahent, tytuł, a gdy bank je podaje: miejsce i godzina), saldo i nazwa konta. Kasandro nie może przesunąć ani grosza.
Na jak długo?: Do końca zgody, którą daje bank: banki PSD2 dają 90 lub 180 dni, a my trzymamy się daty, którą zwraca bank. Tydzień przed końcem zapytamy, czy odnowić jednym tapnięciem.
Jak to cofnąć?: W Kasandro: odłącz bank jednym tapnięciem albo „Usuń wszystko”. W banku: wycofaj zgodę w aplikacji lub bankowości internetowej (nazwy różnią się między bankami). Po cofnięciu Kasandro przestaje czytać.

Bezpieczeństwo · O Enable Banking

Kto dotyka Twoich danych

Poniżej dostawcy i to, co sami o sobie publikują, tak jak przeczytaliśmy to 13 października 2026. To ich oświadczenia, nie nasze certyfikaty.

Kto dotyka Twoich danych
Dostawca	Do czego	Co sam publikuje	Jego strona
Enable Banking Oy	logowanie w banku, zgoda, dostęp do rachunków (PSD2)	Na swojej stronie pisze, że jest zarejestrowanym dostawcą usługi dostępu do informacji o rachunku, nadzorowanym przez fiński FIN-FSA. Certyfikatów bezpieczeństwa na stronach, które sprawdziliśmy, nie deklaruje.	enablebanking.com/tpp-infrastructure
Netlify	hosting strony i aplikacji	Na stronie bezpieczeństwa wymienia SOC 2 Type 2 i ISO 27001.	netlify.com/security/
Neon	baza danych	Na stronie bezpieczeństwa wymienia SOC 2 Type II i ISO/IEC 27001:2022.	neon.com/security
Stripe	płatności za subskrypcję	Pisze, że ma certyfikat PCI Service Provider Level 1 oraz co roku raporty SOC 1 i SOC 2 Type II.	docs.stripe.com/security
Resend	e-maile (kody logowania, list)	Pisze, że ma raport SOC 2 Type II.	resend.com/security
Anthropic, ElevenLabs	asystent, list, głos	Ich certyfikatów dla tej strony nie sprawdzaliśmy, więc żadnych nie przywołujemy. Regiony przetwarzania i retencja: strona podprocesorów.	Podprocesorzy

Certyfikaty z tabeli to oświadczenia samych dostawców i dotyczą ich systemów; nie są certyfikatami Kasandro.

Co robi kod

Działa dziś i da się to sprawdzić w repozytorium:

Każda odpowiedź serwera niesie nagłówki bezpieczeństwa (polityka treści, HSTS, zakaz osadzania w ramkach, nosniff, polityka referrera).
Przy każdej zmianie CI sprawdza zależności i zatrzymuje build, gdy znajdzie lukę krytyczną (npm audit na poziomie krytycznym). Blokuje.
Przy każdej zmianie CI szuka w kodzie sekretów, czyli kluczy i haseł (gitleaks), i zatrzymuje build, gdy coś znajdzie. Blokuje.
Analiza statyczna kodu (Semgrep) przy każdej zmianie kodu: znalezisko o wadze ERROR zatrzymuje build. Blokuje.
Skan całej historii repozytorium pod kątem sekretów, które działają naprawdę (TruffleHog sprawdza je u wystawcy). Blokuje.
Skan podstawowy OWASP ZAP (baseline, pasywny, bez ataków) zbudowanej strony przy każdej zmianie kodu. Nowe znaleziska zatrzymują build.
OSV-Scanner porównuje zależności z bazą znanych podatności przy zmianach zależności i co tydzień. Nowe znaleziska zatrzymują build.
Co tydzień Dependabot otwiera zgrupowane pull requesty z aktualizacjami zależności, które znalazł (dependabot.yml); cotygodniowa rutyna scala wszystkie otwarte w jeden pull request i pracuje nad nim, aż przejdą wszystkie blokujące kontrole; scala go człowiek.
Strony publiczne nie mają logowania i nie dotykają danych z banku.

W projekcie, jeszcze nie działa:

Transakcje zaszyfrowane kluczem gospodarstwa, bez surowych odpowiedzi banku po normalizacji i bez treści w logach.
Logowanie jednorazowym kodem z e-maila, bez hasła do Kasandro.
Odłączenie banku jednym tapnięciem i „Usuń wszystko”, razem z kopiami w deklarowanym terminie.
Kasandro honoruje datę ważności zgody, którą zwraca bank, i przestaje czytać po jej cofnięciu.

Zgłoś podatność

Znalazłeś dziurę? Napisz na support@kasandro.com, to nasz jedyny adres. Opisz, gdzie jest i jak ją odtworzyć. Nie wysyłaj danych z banku ani kodów logowania: nie są potrzebne. Plik security.txt jest tutaj: security.txt

Testy bezpieczeństwa

Pierwsze uruchomienia, 13 października 2026: Semgrep: 0 znalezisk. OWASP ZAP baseline: 63 sprawdzenia zaliczone, 0 niezaliczonych. TruffleHog, cała historia repozytorium: 0 sekretów. Skan zależności wskazał znane podatności, a my zaktualizowaliśmy pakiety, które miały poprawkę.

Zobacz też: Podprocesorzy · Prywatność · Kasandro na telefonie · Kasandro: co sprawdza się przy każdej zmianie · OWASP ZAP

Kasandro to narzędzie do wglądu w Twoje finanse, nie doradztwo inwestycyjne ani finansowe.