> ## Documentation Index > Fetch the complete documentation index at: https://ayakaleaf-pro.mintlify.site/llms.txt > Use this file to discover all available pages before exploring further. # Luottamus ja tietoturva > Tutustu tietojen käsittelyyn, buildien toimitukseen ja tietoturvavastuisiin. Ayakaleaf Pro toimii omassa infrastruktuurissasi. Sinä hallitset sen tietoja, käyttöoikeuksia ja verkkorajoja. Tällä sivulla selitetään oletusarvoinen tietoturvamalli. Lisäksi siinä yksilöidään operatiiviset vastuusi. ### Onko Ayakaleaf Pro luotettava ja turvallinen? Ayakaleaf Pro on itse ylläpidettävä Overleaf Pro -laajennus, ja sen lähdekoodi on saatavilla osoitteessa [ayaka-notes/ayakaleaf-pro](https://github.com/ayaka-notes/ayakaleaf-pro). Sinun käyttöönottosi määrää, missä palvelut toimivat ja missä tiedot sijaitsevat. Tietoturva riippuu määrityksistäsi ja ylläpitokäytännöistäsi. Suojaa järjestelmänvalvojan pääsy, ota HTTPS käyttöön ja ylläpidä varmuuskopioita. Kiitos OpenAI:lle ystävällisestä tuesta. Käytämme säännöllisesti [Codex Securitya](https://chatgpt.com/codex/cloud/security/findings) repositoriomme tietoturvaongelmien tarkistamiseen ja jaamme haavoittuvuuskorjausten tulokset julkisesti. ### Minne tietoni menevät? Oletusarvoisesti sovelluksen tiedot pysyvät käyttöönotossasi: * MongoDB tallentaa käyttäjä- ja projektitiedot. * Redis tallentaa välimuisti- ja reaaliaikaisen yhteistyön tiedot. * Paikalliset volyymit tai S3-yhteensopiva tallennustila säilyttävät projektitiedostot. Oletusarvoisesti vain verkkopalvelu on avoinna ulospäin. Sisäiset palvelut kommunikoivat Docker-verkon kautta. ### Lähetetäänkö tietojani kolmansille osapuolille tai haetaanko niitä kolmansilta osapuolilta? Mikään ei poistu käyttöönotostasi, ellet ota käyttöön ominaisuutta, joka sitä edellyttää. Ayakaleaf Pro ei lähetä *telemetriaa, käyttöanalytiikkaa eikä kaatumisraportteja*. Virheraportointi ja analytiikka ovat oletusmäärityksessä pois käytöstä. Useat ominaisuudet eivät tee lainkaan ulkoisia pyyntöjä. Mallipohjat tallennetaan ja tarjoillaan omasta käyttöönotostasi. Python-skriptien suoritusympäristö toimii käyttäjän selaimessa WebAssemblyn avulla, ja sen ajonaikainen ympäristö tarjoillaan omasta verkkopalvelustasi eikä julkisesta CDN:stä, joten skriptikoodi ja tulosteet eivät koskaan päädy verkkoon. Git Bridge on tavoitettavissa vain sisäisessä Docker-verkossa. Koko projektin haku, symbolipaletti, muutosten seuranta, projektihistoria ja hallintapaneeli ovat täysin paikallisia. Hiekkalaatikoidut käännöskontit luodaan verkkoyhteys poistettuna käytöstä. Muiden ominaisuuksien pyynnöt kulkevat seuraaviin kohteisiin. Jokainen pyyntö lähtee verkkopalvelusta: Tekoälyominaisuudet ovat oletuksena pois käytöstä. Kun ne ovat käytössä, keskustelu ja LaTeX-virheiden korjausehdotukset lähettävät kehotteet ja asiaankuuluvan projektikontekstin `AI_BASE_URL`-muuttujalla määritettyyn mallin päätepisteeseen. Valinnainen verkkohaku lähettää kyselyt määritettyyn Tavily-yhteensopivaan palveluun, ja dokumentaatiohaku lähettää kyselyt osoitteeseen `DOCS_MCP_URL` (oletus: `https://docs.overleaf.com/~gitbook/mcp`). Hakutuloksia voidaan sisällyttää mallintarjoajalle lähetettäviin pyyntöihin. Katso määritykset ja käyttäjän asetukset kohdasta [AI Integration](/fi/on-premises/configuration/overleaf-toolkit/ai-integration "mention"). **GitHub-integraatio** ottaa yhteyttä osoitteisiin `github.com` ja `api.github.com`. Se otetaan käyttöön käyttäjäkohtaisesti linkittämällä GitHub-tili, ja valtuutus pyytää `read:org`-, `repo`- ja `workflow`-oikeusalueet. Push-toiminto lataa projektitiedostojen koko sisällön Git-blobeina, joista kootaan sitten puita ja committeja. Se suorittaa myös haara-, viittaus-, vertailu- ja yhdistämistoimintoja ja lukee linkitetyn tilin profiilin, organisaatiojäsenyydet ja repositorioluettelon. Projektin sisältö liikkuu käyttöönottosi ulkopuolelle molempiin suuntiin – pidä linkitettyä GitHub-tiliä vientikanavana jokaiselle siihen liitetylle projektille. **Zotero-integraatio** ottaa yhteyttä osoitteeseen `www.zotero.org` valtuutusta varten ja osoitteeseen `api.zotero.org` kirjastotietoja varten. Se otetaan käyttöön käyttäjäkohtaisesti linkittämällä Zotero-tili. OAuth-kättely ja käyttäjän API-avain lähetetään. Luku on yksisuuntaista: viitekirjastot haetaan BibTeX-muodossa, eikä projektin sisältöä ladata. **Mendeley-integraatio** ottaa yhteyttä osoitteeseen `api.mendeley.com` sekä valtuutusta että kirjastotietoja varten. Se otetaan käyttöön käyttäjäkohtaisesti linkittämällä Mendeley-tili. OAuth-kättely pyytää Mendeleyn `all`-oikeusalueen – ainoan, jonka sen API tarjoaa – mutta Ayakaleaf suorittaa aina vain lukutoimintoja: viitekirjastot ja ryhmäkirjastot haetaan BibTeX-muodossa, eikä projektin sisältöä ladata. Käyttöoikeustunnukset uusitaan automaattisesti; kun Mendeley peruuttaa valtuutuksen, tallennettu tunnistetieto hylätään ja käyttäjää pyydetään linkittämään tili uudelleen. **Dokumentaatiosivut** haetaan osoitteesta `https://learnwiki.overleaf.com`, ja osoite on määritettävissä `WIKI_URL`-muuttujalla. Pyynnöt tekee verkkopalvelu eikä käyttäjän selain, joten ylävirran wiki näkee palvelimesi eikä koskaan käyttäjiesi osoitteita. Vain pyydetyn sivun otsikko lähetetään, ja vastaukset tallennetaan välimuistiin levylle. Osoita `WIKI_URL` omaan peilipalvelimeesi tai estä kohde, jos lähtevä dokumentaatioliikenne ei ole hyväksyttävää. **Sähköpostin toimitus** ottaa yhteyttä siihen SMTP-palvelimeen tai sähköposti-API:in, jonka määrität; oletusta ei ole. Vastaanottajien osoitteet ja viestien sisältö poistuvat käyttöönotostasi, mukaan lukien salasanan palautus- ja kutsulinkit. Kaksi valinnaista tarkistusta on oletuksena pois käytöstä. Vaarantuneiden salasanojen tarkistus on passiivinen, ellei `HAVE_I_BEEN_PWNED_ENABLED` ole asetettu; käytössä ollessaan se lähettää osoitteeseen `api.pwnedpasswords.com` salasanan SHA-1-tiivisteen ensimmäiset merkit, ei koskaan itse salasanaa. CAPTCHA-vahvistus on passiivinen, ellei reCAPTCHA-sivustoavainta ole määritetty, ja käytössä ollessaan se ottaa yhteyttä osoitteeseen `www.google.com`. **Kertakirjautuminen** tavoittaa vain antamasi identiteetintarjoajan, ja se, mitä sinne välitetään, riippuu protokollasta. LDAP:ia käytettäessä verkkopalvelu muodostaa yhteyden hakemistoosi suoraan: se tunnistautuu (bind) määrittämälläsi palvelutilillä, hakee määrittämäsi hakupohjan, suodattimen ja attribuuttiluettelon mukaisesti ja tarkistaa kirjautumislomakkeeseen syötetyn salasanan hakemistoasi vasten, joten käyttäjätunnus ja salasana päätyvät hakemistopalvelimelle. Hakemistopohjaisten yhteystietojen käyttöönotto aiheuttaa lisähaun yhteystietoluettelon täyttämiseksi. OIDC:tä käytettäessä verkkopalvelu vaihtaa valtuutuskoodin token-päätepisteessäsi ja kutsuu sitten user-info-päätepistettäsi pyytäen oletuksena oikeusalueet `openid profile email`; tämä on määritettävissä `OVERLEAF_OIDC_SCOPE`-muuttujalla. SAML:ia käytettäessä todennuspyyntö kulkee käyttäjän selaimen kautta identiteetintarjoajalle suoran palvelinyhteyden sijaan. Kaikissa kolmessa tapauksessa käyttäjän nimi ja sähköpostiosoite saapuvat tarjoajalta sen sijaan, että niitä lähetettäisiin sille, ja ne tallennetaan sitten paikalliseen käyttäjätietueeseen. **Kolmansien osapuolten tunnistetiedot** – OAuth-tunnukset ja API-avaimet – säilytetään MongoDB:ssä käyttäjätietueessa salattuina AES-256-CTR:llä tietuekohtaisella suolalla ja alustusvektorilla. Niitä ei koskaan tallenneta selkotekstinä eikä kirjoiteta lokeihin. Salausavain otetaan muuttujasta `${PROVIDER}_CIPHER_PASSWORD`, jos se on asetettu (kuten Zoterolle ja Mendeleylle); muussa tapauksessa avain luodaan ensimmäisellä käyttökerralla ja tallennetaan datavolyymiisi vain omistajan luettavissa olevin oikeuksin. Varmuuskopioi tämä avain yhdessä datavolyymisi kanssa: jos se katoaa, tallennettuja tunnistetietoja ei voi purkaa, ja jokaisen käyttäjän on linkitettävä tilinsä uudelleen. **URL-osoitteesta linkitetyt tiedostot** hakee käyttöönottosi käyttäjän puolesta, joten kohde on mikä tahansa käyttäjän antama osoite. Linkitetyt URL-tiedostot ovat pois käytöstä, ellet lisää arvoa `url` muuttujaan `ENABLED_LINKED_FILE_TYPES`, eikä oletusmääritys sisällä sitä. Myös ulkoiset ZIP- ja TeX-tuonnit Open in Overleaf API:n kautta käyttävät samaa `linked-url-proxy`-komponenttia. Suorat pyynnöt selvittävät kohteen isäntänimen ja hylkäävät rajoitetut verkkoalueet, ellei määritetyissä sallittujen resurssien poikkeuksissa toisin sanota. Kun `OVERLEAF_LINKED_URL_OUTBOUND_PROXY` on määritetty, lähtevä välityspalvelin selvittää isäntänimet, joten sen on itse valvottava sisäverkon rajoituksia; sovelluksen verkkotarkistukset koskevat vain IP-osoitteita sisältäviä URL-osoitteita. Lisätietoja on kohdassa [External URL — Outbound Proxy](/fi/on-premises/configuration/overleaf-toolkit/external-url#outbound-proxy "mention"). Nämä pyynnöt hakevat annetun URL-osoitteen sisällön eivätkä lataa projektitiedostoja. Jos käytäntösi edellyttää lähtevän liikenteen sallittujen kohteiden luetteloa, salli vain ne isännät, joiden ominaisuudet olet ottanut käyttöön – `github.com` ja `api.github.com` GitHubille, `www.zotero.org` ja `api.zotero.org` Zoterolle, `api.mendeley.com` Mendeleylle, `learnwiki.overleaf.com` tai oma `WIKI_URL`-osoitteesi dokumentaatiolle, `api.pwnedpasswords.com` salasanatarkistukselle, `www.google.com` CAPTCHAlle sekä oma sähköpostipalvelimesi ja identiteetintarjoajasi. Jos tekoälyominaisuudet tai haku ovat käytössä, salli myös määritetyt mallin, verkkohaun ja dokumentaation MCP-päätepisteet. Estä kohteet, joita käyttöön ottamasi ominaisuudet eivät edellytä. Jos lähtevä liikenne on tarkastettava tai kirjattava keskitetysti, GitHub-, Zotero- ja Mendeley-integraatiot voidaan kukin reitittää HTTP-välityspalvelimen kautta asettamalla `GITHUB_SYNC_PROXY_URL`, `MENDELEY_PROXY_URL` ja `ZOTERO_PROXY_URL`. Linkitettyjen URL-osoitteiden haku ja etätuonnit voivat käyttää `OVERLEAF_LINKED_URL_OUTBOUND_PROXY`-muuttujaa. URL-osoitteesta linkitettyjä tiedostoja ei voi rajata isäntäluetteloon, koska käyttäjä valitsee kohteen pyynnön tekohetkellä; rajoita tätä ominaisuutta välityspalvelinkomponentin omalla sallittujen resurssien asetuksella tai jätä se pois käytöstä. Jos otat Ayakaleaf Pron käyttöön [s3.md](/fi/on-premises/configuration/overleaf-toolkit/s3 "mention") -tallennus käytössä, salataanko S3:een tallennetut tiedot? *Ei.* Tietoja ei salata. Kaikki historiapalat, mallitiedostot, PDF-tiedostot ja muut tiedostot tallennetaan selkotekstinä. Jos käytät kolmannen osapuolen ulkoista S3-tallennuspalvelua, kiinnitä erityistä huomiota tietoturvaan ja yksityisyyteen. ### Ovatko projektien käännökset eristettyjä? Ayakaleaf Pro tukee hiekkalaatikoituja käännöksiä. Jokainen käännös ajetaan erillisessä kontissa. Hiekkalaatikkokonteilla ei ole oletuksena verkkoyhteyttä. Tämä vähentää altistumista sisäverkon resursseille. Hiekkalaatikoidut käännökset edellyttävät pääsyä isäntäkoneen Docker-socketiin. Rajaa isäntäkoneen hallinta luotetuille ylläpitäjille. ### Voinko luottaa CI-buildeihin ja kontti-imageihin? GitHub Actions rakentaa ja julkaisee Ayakaleaf Pron kontti-imaget. Imaget ovat saatavilla julkisesta GitHub Container Registrystä. Imaget tukevat arkkitehtuureja `amd64` ja `arm64`. Docker valitsee imagea noudettaessa vastaavan arkkitehtuurin. Älä käytä `latest`-tagia tuotannossa. Kiinnitä tietty versio, mieluiten imagen digest. Testaa jokainen päivitys muussa kuin tuotantoympäristössä. Tarkista image, määritykset ja integraatiot ennen käyttöönottoa. ### Onko koodi avointa lähdekoodia? Ayakaleaf Pro ja siihen liittyvät ominaisuusrepositoriot ovat julkisesti saatavilla. Näin käyttäjät voivat tarkastella muutoksia ja jäljittää ylävirran lähteitä. Julkinen lähdekoodi tukee riippumatonta tarkastelua. Se ei kuitenkaan sellaisenaan takaa julkaisubuildien toistettavuutta. Tarkista ennen päivittämistä: * julkaisutagi tai commit * imagen versio tai digest * kolmansien osapuolten riippuvuudet ja lisenssivaatimukset. This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.