Ikhtisar Keamanan

Cara kerja koneksi

1. 1

   Anda menyetujui akses dengan penyedia

   Anda masuk dan memberikan akses di layar penyedia itu sendiri. Alur OAuth yang dihosting dijalankan oleh Composio, mitra infrastruktur kredensial kami.

2. 2

   Kami menyimpan referensi, bukan token Anda

   Untuk koneksi yang dihosting, ClawLink hanya menyimpan penunjuk ke akun Anda yang terhubung. Token OAuth penyedia Anda tetap disimpan di Composio.

3. 3

   Agen Anda menjalankan alat yang Anda picu

   Saat Anda meminta agen Anda melakukan sesuatu, ClawLink menjalankan satu permintaan tersebut terhadap penyedia untuk Anda. Tidak ada yang terjadi kecuali Anda memicunya.

4. 4

   Anda tetap memegang kendali

   Putuskan koneksi apa pun dari dasbor Anda kapan saja, dan cabut akses langsung dari penyedia kapan pun Anda mau.

Bagaimana kami menyimpan kredensial

Sebagian besar integrasi terhubung melalui alur Composio yang kami hosting, di mana ClawLink hanya menyimpan referensi ke akun Anda yang terhubung, bukan token penyedia Anda. Saat integrasi memerlukan kredensial yang kami simpan secara langsung, seperti kunci API yang Anda masukkan saat penyiapan, kami mengenkripsinya dengan AES-256-GCM sebelum ditulis ke database kami dan mendekripsinya hanya di memori saat permintaan Anda berjalan. Kunci enkripsi dapat dirotasi tanpa downtime.

Kode yang berjalan di komputer Anda terbuka

Plugin agen, CLI, dan adaptor MCP dipublikasikan lengkap di GitHub, jadi Anda bisa membaca persis apa yang berjalan di komputer Anda sebelum memasangnya. Semuanya hanya berkomunikasi dengan satu host, claw-link.dev, dan hanya menyimpan satu rahasia: kunci API ClawLink Anda. Klien ini tidak pernah melihat kata sandi atau token OAuth aplikasi Anda.

Akses operasional dan data

Kami hanya meminta cakupan akses penyedia paling kecil yang dibutuhkan setiap fitur. Setiap panggilan tool dicatat beserta argumen yang dikirim agen Anda dan respons yang dikembalikan penyedia, agar panggilan yang gagal bisa ditelusuri dan tim dukungan bisa melihat apa yang terjadi. Log ini dihapus setelah 90 hari. Analitik produk hanya menerima tool apa yang dijalankan, kapan, dan apakah berhasil, tidak pernah isinya.

Memutuskan integrasi

Anda dapat memutuskan koneksi apa pun dari dasbor ClawLink Anda kapan saja. Untuk penghapusan dengan jaminan lebih tinggi, cabut akses ClawLink dari akun penyedia secara langsung, dan hubungi kami untuk permintaan penghapusan.

Apa yang kami andalkan

ClawLink berjalan pada infrastruktur yang tidak kami operasikan sendiri. OAuth yang dihosting dan penyimpanan token penyedia ditangani oleh Composio, yang memublikasikan kepatuhannya di pusat kepercayaan-nya, dan layanan berjalan di Cloudflare. Untuk membuat permintaan, kami mendekripsi kredensial Anda di memori pada waktu eksekusi, jadi enkripsi saat disimpan tidak berarti ClawLink tidak pernah menangani rahasianya. Kami lebih memilih menjelaskan batasan ini secara tepat daripada menyiratkan isolasi yang lebih besar dari kenyataannya.

Melaporkan Masalah Keamanan

Laporan keamanan dapat dikirim ke security@claw-link.dev. Harap sertakan langkah-langkah reproduksi, titik akhir yang terpengaruh, dan akun atau konteks permintaan apa pun yang relevan.