ZOREVA-UI

सुरक्षा

ZOREVA-UI में सुरक्षा

आपका कोड, आपका खाता और आपके एजेंट की पहुँच देखभाल के लायक हैं। यह पेज बताता है कि हम आज वेबसाइट, MCP सर्वर और CLI में वास्तव में क्या करते हैं — इससे ज़्यादा कुछ नहीं।

अंतिम अपडेट 28 अक्टू॰ 2026

कमज़ोरी की रिपोर्ट करेंसुरक्षा नीति

लीक होने लायक पासवर्ड के बिना साइन-इन

ईमेल वन-टाइम कोड, Google या GitHub। सेशन टोकन प्रकाशित साइनिंग कुंजियों से जाँचे जाते हैं।

एजेंट OAuth से साइन इन करते हैं

MCP सर्वर PKCE के साथ OAuth 2.1 का उपयोग करता है। एक्सेस टोकन एक घंटे में समाप्त हो जाते हैं।

CLI काम करने से पहले पूछता है

बदलाव से पहले diff, जोखिम भरे कमांड से पहले पुष्टि, और Linux पर बिना नेटवर्क वाला सैंडबॉक्स।

भुगतान Stripe पर ही रहते हैं

कार्ड विवरण Stripe पर दर्ज होते हैं और कभी हमारे सर्वर तक नहीं पहुँचते।

01खाते और साइन-इन

  • आप वेबसाइट पर ईमेल से भेजे गए वन-टाइम कोड, या Google या GitHub से साइन इन करते हैं। ZOREVA-UI कभी पासवर्ड बनाने के लिए नहीं कहता।
  • साइन-इन कोड के अनुरोध हर नेटवर्क पते और हर ईमेल पते के लिए सीमित हैं।
  • खाता हो या न हो, साइन-इन फ़ॉर्म एक ही जवाब देता है, इसलिए इससे यह पता नहीं लगाया जा सकता कि किसका खाता है।
  • खाते का डेटा पढ़ने से पहले हर अनुरोध पर सेशन टोकन हमारी ऑथेंटिकेशन सेवा की प्रकाशित साइनिंग कुंजियों (JWKS) से सत्यापित होते हैं।

02अपना एजेंट जोड़ना (MCP)

  • होस्टेड MCP सर्वर PKCE और डायनेमिक क्लाइंट रजिस्ट्रेशन के साथ मानक OAuth 2.1 का उपयोग करता है। आप zoreva-ui.com पर साइन इन करते हैं, अनुरोध देखते हैं और अनुमति दें दबाते हैं; आपके क्लाइंट को टोकन अपने-आप मिल जाता है।
  • एक्सेस टोकन एक घंटे चलते हैं और अपने-आप रिफ़्रेश होते हैं। किसी कॉन्फ़िग फ़ाइल में कुछ पेस्ट नहीं करना पड़ता।
  • जो क्लाइंट OAuth सपोर्ट नहीं करते, वे खाता पेज से मैन्युअल टोकन इस्तेमाल कर सकते हैं। यह सात दिन में समाप्त होता है।
  • हर टूल कॉल कैटलॉग का केवल एक आइटम लौटाती है। एजेंट को दिए गए डाउनलोड लिंक अल्पकालिक होते हैं और सिर्फ़ एक बार खुलते हैं।
एंडपॉइंट विवरण और चेकसम Trust पेज पर →

03आपकी मशीन पर CLI

  • डिफ़ॉल्ट रूप से CLI शेल कमांड चलाने या फ़ाइल लिखने से पहले पूछता है। केवल --yes या --autopilot ही इन्हें अपने-आप मंज़ूर करते हैं।
  • हर फ़ाइल बदलाव diff के रूप में दिखता है जिसे आप स्वीकार या अस्वीकार कर सकते हैं, और /undo पिछले टर्न में बदली गई फ़ाइलें वापस लाता है।
  • Linux पर कमांड bubblewrap सैंडबॉक्स में चलते हैं, जिसमें नेटवर्क एक्सेस नहीं होता और लिखना केवल प्रोजेक्ट तक सीमित होता है।
  • एक्सेस से पहले फ़ाइल पाथ हल किए जाते हैं, इसलिए प्रोजेक्ट से बाहर इशारा करने वाला सिम्बॉलिक लिंक अस्वीकार हो जाता है।
  • प्रोजेक्ट में परिभाषित हुक तब तक नहीं चलते जब तक आप उस प्रोजेक्ट पर भरोसा न करें, और प्रोजेक्ट की निर्देश फ़ाइलों को अविश्वसनीय संदर्भ माना जाता है।
  • ब्राउज़र साइन-इन PKCE और POST पर बदले जाने वाले वन-टाइम कोड का उपयोग करता है। आपका टोकन कभी URL में नहीं दिखता।
  • आपके क्रेडेंशियल, सेटिंग्स और सेशन ~/.zoreva में ऐसी अनुमतियों के साथ रखे जाते हैं जिन्हें केवल आपका यूज़र पढ़ सकता है।
  • CLI खुद को बदलने से पहले अपडेट को प्रकाशित SHA-256 चेकसम से जाँचता है।
CLI के बारे में →

04आपकी अपनी API कुंजियाँ

  • जब आप CLI में अपने मॉडल प्रदाता की कुंजी जोड़ते हैं, तो वह सिर्फ़ आपके कंप्यूटर पर, ऐसी फ़ाइल में सहेजी जाती है जिसे केवल आपका यूज़र पढ़ सकता है।
  • आपकी कुंजी से किए गए अनुरोध सीधे आपके कंप्यूटर से चुने गए प्रदाता तक जाते हैं। ZOREVA-UI वह कुंजी न सहेजता है, न आगे भेजता है।
  • आप CLI से सहेजी गई कुंजी कभी भी हटा सकते हैं। कुंजियाँ एनवायरनमेंट वेरिएबल से भी आ सकती हैं, जिससे वे डिस्क पर कभी नहीं लिखी जातीं।

05इन्फ़्रास्ट्रक्चर और डेटा

  • zoreva-ui.com का सारा ट्रैफ़िक HTTPS पर चलता है। साइट HSTS, Content Security Policy और ऐसे हेडर भेजती है जो फ़्रेमिंग और कंटेंट-टाइप स्निफ़िंग रोकते हैं।
  • खाते का डेटा मैनेज्ड Postgres में, प्लेटफ़ॉर्म द्वारा दिए गए एट-रेस्ट एन्क्रिप्शन के साथ रखा जाता है।
  • हमारे सार्वजनिक डेटाबेस स्कीमा की तालिकाओं पर दूसरी सुरक्षा परत के रूप में रो-लेवल सिक्योरिटी चालू है: ऐप के अलावा कोई भी डेटाबेस रोल डिफ़ॉल्ट रूप से अस्वीकार होता है।
  • हमारी सेवाओं के बीच साझा सीक्रेट की तुलना कॉन्स्टेंट टाइम में होती है।
  • प्रोडक्ट फ़ाइलों की जाँच की जाती है ताकि भुगतान कुंजियाँ और वेबहुक सीक्रेट सोर्स कोड में न पहुँचें।
जिन प्रदाताओं पर हम निर्भर हैं →

06डाउनलोड और उचित उपयोग

  • आपका प्लान हमेशा सर्वर पर पढ़ा जाता है। कोई अनुरोध खुद को Premium घोषित नहीं कर सकता।
  • डाउनलोड कोटा मेमोरी में नहीं, डेटाबेस में रखे जाते हैं, इसलिए वे सभी सर्वरों पर लागू होते हैं।
  • हर पते पर फ़ाइल ट्रांसफ़र की प्रति घंटा सीमा है, जिससे कैटलॉग को थोक में स्क्रैप नहीं किया जा सकता।

07भुगतान

  • चेकआउट और बिलिंग Stripe पर होते हैं। कार्ड नंबर Stripe पर दर्ज होते हैं और कभी ZOREVA-UI के सर्वर को नहीं छूते।
  • Stripe के बिलिंग इवेंट तभी स्वीकार होते हैं जब उनका सिग्नेचर मेल खाता है।
रिफ़ंड और बिलिंग नीति →

08AI और आपका डेटा

  • ZOREVA-UI मॉडलों को भेजे गए प्रॉम्प्ट आपको जवाब देने के लिए इस्तेमाल होते हैं। क्या भेजा और रखा जाता है, यह हमारे AI और डेटा पेज पर सरल भाषा में बताया गया है।
  • CLI क्रैश रिपोर्ट डिफ़ॉल्ट रूप से बंद हैं और उनमें कभी कोड, प्रॉम्प्ट या फ़ाइल की सामग्री नहीं होती।
AI और आपका डेटा →

09अपना खाता हटाना

  • आप खाता पेज पर अपना ईमेल पता पुष्टि करके खुद अपना खाता हटा सकते हैं।
  • हटाने पर कोई भी सक्रिय सदस्यता तुरंत रद्द होती है, आपके लिए जारी MCP टोकन रद्द होते हैं और आपका निजी डेटा मिटा दिया जाता है।
  • गोपनीयता नीति के अनुसार कुछ सुरक्षा और बिलिंग लॉग पहचान-रहित रूप में रखे जाते हैं।
निजता नीति →

10हम क्या दावा नहीं करते

  • ZOREVA-UI के पास आज कोई तृतीय-पक्ष सुरक्षा प्रमाणन नहीं है। हम कुछ और जताने के बजाय यह साफ़ कहना पसंद करते हैं।
  • हमारे पास अभी पेड बग बाउंटी नहीं है, पर हर रिपोर्ट पढ़ी जाती है और उसका जवाब दिया जाता है।

कमज़ोरी की रिपोर्ट करें

कुछ मिला? विषय में “Security” लिखकर, दोहराने के चरण और संभावित असर के साथ हमें ईमेल करें। सार्वजनिक करने से पहले हमें ठीक करने का उचित समय दें, और परीक्षण के दौरान दूसरों के डेटा तक न पहुँचें या सेवा को खराब न करें।

support@zoreva-ui.com