Security और data handling
अंतिम अपडेट:
यह पेज Figma की plugin data-security review के सवालों के जवाब देता है, और उन सवालों के भी जो security को लेकर सजग teams आमतौर पर हमसे पूछती हैं।
Service को कौन-सा data भेजा जाता है?
- पेज address, चुने गए screens और options, और आपकी Figma user id से बनाया गया एक account identifier (कोई नाम नहीं, कोई email नहीं)।
- अगर आपके पास paid plan है, तो एक license key या कम समय के लिए वैध एक Figma purchase token।
- Local file mode में: आपकी upload की गई files। AI mode में: आपके AI tool का भेजा HTML। Send to Figma के साथ: आपके चुने हुए tab का capture।
क्या plugin मेरी Figma file पढ़ता है?
नहीं। Plugin आपकी file में layers लिखता है। Re-import की सुविधा देने के लिए यह सिर्फ़ वह जानकारी पढ़ता है जो उसने अपने ही frames पर save की थी (source address और width)। आपके fonts की जांच local रूप से होती है और उन्हें कभी upload नहीं किया जाता। आपकी file का content कभी कहीं नहीं भेजा जाता।
Data कितने समय तक रखा जाता है?
| Data | कितने समय तक |
|---|---|
| Import result | एक बार deliver, फिर memory से delete; job record 15 मिनट |
| Upload की गई files | सिर्फ़ memory में; आख़िरी पेज के तुरंत बाद delete (छोड़ दिए जाने पर 2 मिनट) |
| Send to Figma / AI inbox | सिर्फ़ memory में; आपका plugin लेते ही delete, अधिकतम 30 मिनट |
| Import log | 180 दिन; IP address 30 दिनों के बाद हटा दिया जाता है |
| Security log | 90 दिन |
| Free-plan IP counters | 2 महीने |
पेज content कभी disk पर नहीं लिखा जाता।
Encryption
Plugin, extension और service के बीच का पूरा traffic HTTPS (TLS) इस्तेमाल करता है। AI और extension के connection tokens सिर्फ़ SHA-256 hashes के रूप में store किए जाते हैं।
Isolation
Service तीन अलग-अलग containers के रूप में चलती है, जिनकी अपनी-अपनी permissions हैं:
- API — plans, limits और licenses। यह कभी browser नहीं चलाता और images decode नहीं करता।
- Browser — सख़्त seccomp profile वाला एक sandboxed Chromium, बिना volumes और बिना secrets के, जिस तक सिर्फ़ एक internal network से पहुंचा जा सकता है।
- Image decoder — download की गई images को बिना internet access के convert करता है, और इसके पास दूसरे containers तक पहुंचने का कोई रास्ता नहीं है।
तीनों read-only file systems के साथ चलते हैं, सभी Linux capabilities हटा दी गई हैं और कोई privilege escalation नहीं है। Browser को एक साफ़ temporary disk के साथ नियमित रूप से restart किया जाता है।
Network सुरक्षा
- एक firewall browser को सिर्फ़ public web ports तक पहुंचने देता है; private networks, cloud metadata addresses और internal services blocked हैं।
- SSRF protection आपके डाले गए address, पेज की हर request और हर image download की जांच करता है, redirects सहित; DNS connection के समय pin किया जाता है।
- Upload की गई files एक virtual address पर memory से खोली जाती हैं — कभी
file://के ज़रिए नहीं।
दुरुपयोग की रोकथाम
Rate limits हर IP address और हर account पर लागू होती हैं। स्पष्ट attack patterns — secrets के लिए scanning, internal addresses, malformed requests — से IP और account identifier दोनों पर अपने-आप ban लग जाता है, जो 24 घंटे से बढ़कर 30 दिनों तक जाता है।
Third parties
आपके content के लिए कोई नहीं। हम servers के लिए एक hosting provider और इस website को deliver करने के लिए Cloudflare इस्तेमाल करते हैं। Pro के लिए Figma purchase tokens को verify करता है।
Vulnerability की रिपोर्ट करना
“Security” subject के साथ [email protected] पर email करें। कृपया किसी समस्या को सार्वजनिक करने से पहले हमें उसे ठीक करने के लिए उचित समय दें।