Безопасность

Вход

• Вместо паролей Gysga использует одноразовые коды на email. Код действует 10 минут, работает один раз и блокируется после 5 неверных попыток.
• Сессия кабинета хранится в защищённой HttpOnly cookie, которую не могут прочитать скрипты на странице; все изменяющие запросы проверяются на межсайтовую подделку.
• Выход из аккаунта сразу завершает сессию на сервере.

Скоро

Двухфакторная аутентификация (приложения-аутентификаторы и passkeys) для важных действий.

API-ключи и SSH-ключи

• API-ключи показываются один раз и хранятся только в виде хэша. Если ключ утёк, сразу отзовите его. У каждого ключа все права аккаунта на серверы и баланс — держите его на серверах, а не в браузере или мобильном приложении.
• SSH-ключи: загружается только публичная часть. Шлюз принимает ed25519, ECDSA и RSA от 2048 бит.
• При первом подключении сверьте отпечаток ключа SSH-шлюза (показан в кабинете).
• Когда вы вызываете модель через прокси, ваш ключ Gysga удаляется до того, как запрос попадёт в контейнер.

Ваши серверы

• Каждый сервер работает в своём контейнере со своими GPU и лимитами CPU, памяти и процессов. Контейнеры разных арендаторов не видят друг друга, локальную сеть хоста и сам хост.
• Машины хостов не открывают порты; вы подключаетесь через шлюз Gysga по зашифрованному туннелю.
• Веб-интерфейсы (Jupyter, ComfyUI и др.) не публикуются в интернет: вы открываете их через проброс портов по SSH или вызываете через защищённый API-прокси.

Серверы работают на машинах хостов

Хосты — независимые владельцы оборудования с правами администратора на своих машинах. Изоляция контейнеров защищает ваш сервер от других арендаторов, но не может скрыть данные от владельца машины. Не размещайте на арендованном сервере секреты, утечка которых для вас недопустима (боевые пароли, приватные ключи, чувствительные персональные данные). Используйте короткоживущие токены с ограниченными правами (например, read-only токен Hugging Face) и храните свои копии.

Пополнения

Адреса для пополнения выводятся из HD-кошелька. Серверы платформы умеют только вычислять адреса и не хранят приватных ключей.

Gysga никогда не попросит у вас сид-фразу, приватный ключ или пароль — ни по почте, ни в чате, нигде.

Для хостов

См. Сдать свою GPU → Безопасность: контейнеры без привилегий, никаких входящих портов, сетевая изоляция.

Фишинг

Официальные домены — только gysga.com и его поддомены (app.gysga.com, api.gysga.com, ssh.gysga.com, docs.gysga.com, get.gysga.com, status.gysga.com). Проверяйте адресную строку перед вводом кода и устанавливайте агент хоста только с https://get.gysga.com.