inv-docs/security.md

Сигурност на Invoicing.top

Защо Invoicing.top е най-сигурната платформа за онлайн фактуриране

При онлайн фактурирането съществуват два основни риска за сигурността, които могат да доведат до сериозни финансови загуби:

1. Неоторизирана промяна на документи - вътрешен служител или външен нападател променя данни във фактура
2. Подмяна на банкова сметка - злонамерено лице променя IBAN-а, към който да се извършват плащания

Invoicing.top адресира и двата проблема с технически решения, които правят измамите практически невъзможни.

---

1. Пълен одит лог на всички промени (MongoDB Audit Trail)

Проблемът

При повечето системи за фактуриране, ако някой промени данни в документ, няма начин да се проследи кой, кога и какво точно е променил. Това създава възможност за:

• Промяна на суми след издаване на фактура
• Промяна на банкови данни
• Изтриване или модификация на редове

Нашето решение

Всяка операция върху документ се записва в MongoDB audit log с пълна история:

• Кой е направил промяната (потребител, IP адрес)
• Кога е направена (timestamp с милисекунди)
• Какво точно е променено (старо и ново състояние)
• Тип операция (създаване, редакция, изтриване, статус)

Какво означава това за вас

• Невъзможно е да се "скрие" промяна
• При съмнение за измама - пълна проследимост
• Съответствие с регулаторни изисквания за одит
• Защита при вътрешни злоупотреби

---

2. Банково удостоверение с електронен подпис

Проблемът

Най-опасната атака при онлайн фактуриране е подмяната на банкова сметка:

1. Злонамерен служител (или хакер) променя IBAN-а в системата
2. Фактурите се изпращат с фалшива банкова сметка
3. Клиентите плащат на грешна сметка
4. Парите отиват при измамника

Тази атака е особено опасна при големи суми и е трудна за откриване, защото фактурата изглежда легитимна.

Нашето решение

Към всяка банкова сметка може да се прикачи PDF сертификат от банката или с електронен подпис:

• Банково удостоверение - официален документ от банката, потвърждаващ титуляря на сметката
• Документ с квалифициран електронен подпис (КЕП) - подписан от МОЛ или упълномощено лице

Как работи

1. В настройките на банковата сметка качвате PDF сертификат
2. При изпращане на фактура по имейл, сертификатът се прикачва автоматично
3. Получателят може да верифицира, че банковата сметка е легитимна

Какво означава това за вашите клиенти

• Могат да проверят, че IBAN-ът принадлежи на вашата фирма
• Ако някой подмени сметката, сертификатът няма да съвпада
• Допълнителен слой на доверие при големи плащания

---

Защо тези мерки са важни

Реални сценарии на измами

Сценарий 1: Вътрешен служител

Счетоводител с достъп до системата променя банковата сметка на своя лична. Издава фактури за големи суми. Клиентите плащат на грешна сметка.

С Invoicing.top: Промяната се записва в лога. Сертификатът не съвпада с новата сметка. Измамата се открива веднага.

Сценарий 2: Компрометиран акаунт

Хакер получава достъп до акаунта и променя IBAN-а. Изпраща фактури от името на фирмата.

С Invoicing.top: Audit логът показва необичайна активност. Банковият сертификат е за оригиналната сметка и няма да бъде прикачен.

Сценарий 3: Man-in-the-middle атака

Нападател прихваща имейла с фактурата и подменя PDF-а с фалшив IBAN.

С Invoicing.top: Банковият сертификат е отделен файл с електронен подпис - не може да бъде фалшифициран.

---

Препоръки за максимална сигурност

1. Качете банков сертификат за всяка активна сметка
2. Използвайте документ с КЕП за най-висока степен на защита
3. Преглеждайте логовете периодично за необичайна активност
4. Ограничете достъпа - давайте права само на необходимите потребители
5. Информирайте клиентите да проверяват сертификата при големи плащания

---

Технически детайли

Audit Log структура (MongoDB)

{
  "id": "65a5b3c7d8e9f0123456789a",
  "action": "DOCUMENT_UPDATE",
  "entityType": "Document",
  "entityId": 12345,
  "userId": 789,
  "username": "accountant@company.bg",
  "companyId": 1,
  "companyName": "Моята Фирма ЕООД",
  "timestamp": "2024-01-15T14:32:15.123",
  "ipAddress": "192.168.1.100",
  "userAgent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64)...",
  "oldValues": {
    "bankAccountId": 5,
    "bankAccountIban": "BG80BNBG96611020345678"
  },
  "newValues": {
    "bankAccountId": 8,
    "bankAccountIban": "BG12UNCR70001522345678"
  },
  "description": "Промяна на банкова сметка",
  "success": true
}

Банков сертификат

• Формат: PDF
• Съхранение: S3-compatible object storage (криптирано)
• Именуване: bank-certificate-{IBAN}.pdf
• Прикачване: автоматично при изпращане на фактура

---

Сравнение с други платформи

Функционалност	Invoicing.top	Други платформи
Пълен audit log	Да (MongoDB)	Частично или не
Банков сертификат	Да (автоматично)	Не
Проследимост на промени	Пълна	Ограничена
Верификация на IBAN	Да	Не
Защита от вътрешни измами	Да	Не

---

Заключение

Invoicing.top е проектирана с мисъл за сигурността от самото начало. Комбинацията от пълен audit log и банкови сертификати прави платформата най-сигурният избор за онлайн фактуриране в България.

При въпроси относно сигурността: support@invoicing.top