Securityאבטחה

Security here is not a dashboard you visit. It is a gate every release walks through, whether a human or an agent pushed it.

אבטחה כאן היא לא לוח מחוונים שמבקרים בו. היא שער שכל שחרור עובר דרכו, בין אם אדם או סוכן דחף אותו.

Bulwark: the scan on every deployBulwark: הסריקה בכל פריסה

Every build is scanned before it can receive traffic. Not nightly, not on a schedule you configure and then forget: between build and release, on the critical path, on staging and production alike.

כל בנייה נסרקת לפני שהיא יכולה לקבל תעבורה. לא כל לילה, לא לפי לוח זמנים שמגדירים ואז שוכחים: בין הבנייה לשחרור, על הנתיב הקריטי, גם ב-staging וגם בייצור.

DependenciesYour lockfile against known advisories, at the exact resolved versions, not the ranges in package.json.קובץ הנעילה שלכם מול התרעות ידועות, בגרסאות המדויקות שנפתרו, לא הטווחים ב-package.json.

Secrets in sourceCommitted keys, tokens and private keys, including in build artifacts and in files you thought were gitignored.מפתחות, טוקנים ומפתחות פרטיים שהוקומטו, כולל בתוצרי בנייה ובקבצים שחשבתם שהם ב-gitignore.

Container surfaceBase image CVEs, root execution, unnecessary capabilities and writable filesystem paths.חולשות בתמונת הבסיס, ריצה כ-root, הרשאות מיותרות ונתיבי קבצים ניתנים לכתיבה.

ConfigurationDebug modes left on, permissive CORS, missing security headers, exposed source maps in production.מצבי דיבאג שנשארו פתוחים, CORS מתירני, כותרות אבטחה חסרות, מפות מקור חשופות בייצור.

What happens when it finds somethingמה קורה כשהיא מוצאת משהו

Critical blocks the release. The deployment ends in blocked, the previous release keeps serving, and the CLI exits 4.קריטי חוסם את השחרור. הפריסה מסתיימת ב-blocked, השחרור הקודם ממשיך לשרת, וה-CLI יוצא עם 4.
High blocks production, warns on staging. You can ship to staging and keep working while you fix it.גבוה חוסם ייצור, מתריע ב-staging. אפשר לשלוח ל-staging ולהמשיך לעבוד בזמן שמתקנים.
Medium and low are reported and do not block. They appear in shipyard security report and in the panel.בינוני ונמוך מדווחים ולא חוסמים. הם מופיעים ב-shipyard security report ובפאנל.

terminal

$ shipyard security report --deployment dep_7Kq2

  Deployment dep_7Kq2 · api · production      blocked

  CRITICAL  cve-2026-31047   lib/pdfkit@0.14.0 → 0.14.3
            Arbitrary file read via crafted font path.

  HIGH      secret-in-image  .env.local baked into layer 6
            Add .env.local to .shipyardignore.

  2 findings blocked this release. 4 informational.

You cannot turn it offאי אפשר לכבות אותה

There is no flag, no environment variable and no support request that disables the scan for an organisation. There is a per-finding, time-boxed exception with a required reason, granted by an owner, that expires. That is the whole escape hatch, and every use of it is in the audit log.

אין דגל, אין משתנה סביבה ואין פנייה לתמיכה שמכבים את הסריקה לארגון. יש חריגה לממצא בודד, מוגבלת בזמן, עם נימוק חובה, שניתנת על ידי בעלים ופגה. זו כל דלת החירום, וכל שימוש בה נמצא ביומן הביקורת.

Secretsסודות

Encrypted at rest with per-organisation keys. Decrypted only into a running container’s process environment.מוצפנים במנוחה עם מפתחות ייעודיים לכל ארגון. מפוענחים רק לתוך סביבת התהליך של קונטיינר רץ.
Not readable through the API, the CLI, the panel or MCP. The read path does not exist, so it cannot be misused.לא ניתנים לקריאה דרך ה-API, ה-CLI, הפאנל או MCP. מסלול הקריאה לא קיים, ולכן אי אפשר לנצל אותו לרעה.
Not available at build time, so they cannot be baked into an image layer.לא זמינים בזמן בנייה, ולכן אי אפשר לצרוב אותם לשכבת תמונה.
Redacted in logs by value match, on a best-effort basis. Do not rely on it: do not print your secrets.מוסתרים בלוגים לפי התאמת ערך, במאמץ סביר. אל תסמכו על זה: אל תדפיסו את הסודות שלכם.

Isolationבידוד

RuntimeOne container per deployment, non-root, read-only root filesystem, no host network.קונטיינר אחד לכל פריסה, לא root, מערכת קבצים לקריאה בלבד, ללא רשת מארח.

NetworkPer-organisation overlay. Your staging cannot reach another org, and by default cannot reach your production database.רשת-על לכל ארגון. ה-staging שלכם לא מגיע לארגון אחר, וכברירת מחדל לא מגיע למסד הייצור שלכם.

StorageVolumes and managed databases are namespaced per project and per environment.נפחים ומסדי נתונים מנוהלים מופרדים לפי פרויקט וסביבה.

BuildBuilds run in an ephemeral sandbox with no access to other projects and no persistent state between builds.בניות רצות בארגז חול זמני ללא גישה לפרויקטים אחרים וללא מצב מתמיד בין בניות.

Data residencyמיקום נתונים

Your code, your build artifacts, your logs and your databases stay in the region you picked. There is no cross-region replication you did not ask for, and no “temporarily processed elsewhere” footnote. See regions.

הקוד, תוצרי הבנייה, הלוגים ומסדי הנתונים שלכם נשארים באזור שבחרתם. אין שכפול בין-אזורי שלא ביקשתם, ואין הערת שוליים על ”עיבוד זמני במקום אחר“. ראו אזורים.

Audit logיומן ביקורת

Every deploy, rollback, environment write, key creation, role change and security exception is recorded with actor, time, source address and target. Agent actions carry the key that performed them, so “which agent did that” is answerable. Retention is 12 months.

כל פריסה, חזרה לאחור, כתיבת סביבה, יצירת מפתח, שינוי תפקיד וחריגת אבטחה נרשמים עם מבצע, זמן, כתובת מקור ויעד. פעולות סוכן נושאות את המפתח שביצע אותן, ולכן ”איזה סוכן עשה את זה“ היא שאלה שיש לה תשובה. שמירה: 12 חודשים.

terminal

$ shipyard audit --since 24h --actor key_9f2c

Reporting a vulnerabilityדיווח על חולשה

Mail security@interhost.net. We acknowledge within one business day. We do not require you to sign anything before reporting, and we will not threaten you for looking.

כתבו ל-security@interhost.net. אנחנו מאשרים קבלה תוך יום עסקים אחד. אנחנו לא דורשים שתחתמו על משהו לפני דיווח, ולא נאיים עליכם על כך שהסתכלתם.

Environment variablesמשתני סביבה

How secrets are set and rotated.איך סודות נקבעים ומוחלפים.

Security reviewסקירת אבטחה

The posture summary for your procurement team.סיכום עמידות לצוות הרכש שלכם.