Безопасность. Редакция от 26 октября 2026 года.

Счёт и вход

Пароли хранятся только в виде хеша scrypt с солью. Восстановить пароль из базы нельзя, поэтому при сбросе приходит код на почту.

Попытки входа и запросы кодов ограничены по частоте: перебрать пароль или код не получится.

Новый пароль через «Забыли пароль?» закрывает все прежние входы на всех устройствах сразу.

Код восстановления живёт 15 минут и выдерживает только три попытки.

Данные и подключения

Соединение с сервисом шифруется (HTTPS, TLS) на сайте, в приложениях и в окне Телеграма.

Доступы к подключённым сервисам (GitHub, почта, бот, MCP) хранятся зашифрованными AES-256-GCM и никогда не отдаются обратно в окно.

Каждый видит только свои разговоры, файлы и проекты. Действия на серверах сервиса доступны только команде OKODE, у клиентов таких рук у агента нет.

В режиме «Спрашивать» шаг, который что-то меняет или стоит денег, ждёт вашего подтверждения. Каждое действие можно запретить отдельно.

Публичные ссылки на чаты

Ссылку на чат создаёте только вы. В неё попадают тексты и созданные файлы, без шагов агента и вывода команд. Ключи, токены и пароли в тексте скрываются автоматически. Удалённая ссылка перестаёт открываться сразу.

Оплата

Данные карты и кошелька вводятся на стороне ЮKassa или Crypto Pay. Сервис получает от них только подтверждение оплаты и зачисляет тариф один раз, сверив сумму и валюту.

Как сообщить об уязвимости

Напишите на okoteam.top@gmail.com с темой «Безопасность»: что нашли, как повторить, чем это грозит. Пожалуйста, не используйте уязвимость и не трогайте чужие данные. Мы ответим и расскажем, что исправили.