← Выберите ракурс, который подходит вашей команде

Для корпоративного IT

Сокращатель, который ваша команда безопасности не отклонит.

Вы измеряете позицию соответствия, время реагирования на инциденты и количество анкет поставщиков, которые вы можете выдержать. Elido - это сокращатель, который ваша команда безопасности не отклонит.

Связаться с отделом продаж Читать отчёт доверия

SAML SSO + SCIM через нашего SSO-провайдера или нативно - Okta, Entra ID, Google
Основная база в ЕС; выбора региона для рабочего пространства пока нет
SOC 2 в подготовке, отчёт не выпущен
ISO 27001 не сертифицирован; DPA доступен по запросу

Where data is hosted

EU-hosted primary data

Default + EU residency

Redirect edge nodes (no per-workspace region choice)

SAML + OIDC

Протокол SSO

WorkOS

Провайдер SSO/SCIM

730 дней

Хранение аудит-лога по умолчанию (настраивается)

SOC 2

В подготовке, отчёт не выпущен

Как работает SSO

Okta или Entra ID → SAML → Elido. Двенадцать минут от холодного старта.

SSO маршрутизируется через WorkOS, который нормализует протокольные различия между SAML 2.0 и OIDC и специфику каждого IdP, которую никто не хочет поддерживать самостоятельно. Ваша команда настраивает SAML-приложение один раз в своём IdP; Elido подбирает пользователей по маппингу email-домен → соединение.

Step 1
User signs in
okta.com / login.microsoftonline.com
IdP authenticates against the corporate directory.
Step 2
SAML assertion
WorkOS connection · domain-routed
Email-domain → IdP connection mapping, no per-user setup.
Step 3
Elido session
edge auth · 200 OK
Session token issued, scope derived from group claims.
Step 4
Workspace landing
app.elido.app/w/your-org
Role + IP allowlist evaluated; audit row written.

Provisioning SCIM

Добавьте пользователя в Okta. Через пять минут он в Elido.

Синхронизация каталога SCIM 2.0 автоматически провизионирует и депровизионирует пользователей. Маппинг групповых утверждений преобразует группы IdP в роли рабочего пространства Elido - поэтому повышение в системе HR автоматически отражается в Elido без тикета. Уходящие сотрудники депровизионируются в течение цикла синхронизации SCIM, с отзывом активных сессий и записью действия в журнал.

Автопровизионинг при добавлении в группу
Членство в группе IdP → приглашение в рабочее пространство, без ручных шагов
Маппинг ролей по групповым утверждениям
engineering-eu → editor, finance → viewer, настраивается
Депровизионинг = отзыв сессии
Событие DELETE аннулирует токены; API-ключи отзываются по политике
Каждое событие SCIM аудируется
Журнал только с добавлением: актор, состояние до/после, исходный IP

Детальное погружение в SCIM и SSO →

SCIM directory sync

workspace · acme-eu

Live · WorkOS

1
User added in Okta
Joins the elido-eu-engineering directory group as part of HR onboarding.
okta.comPOST /scim/v2/Users
T+75s
2
WorkOS pushes to Elido
SCIM sync cycle picks up the create event; no manual invite needed.
workos.com → elido.appscim.create user@org
T+150s
3
Elido provisions the user
Account created, workspace invitation surfaced in pending state.
api-coreuser.id = usr_01HK…
T+225s
4
Group claim → role
engineering → editor; billing-admins → admin. Mapping is configurable.
policyrole: editor (workspace.eu)
T+300s
Deprovision is the same flow in reverse - DELETE event revokes sessions and rotates affected API keys per policy.

Модель авторизации

RBAC на основе Cedar, а не фиксированная трёхуровневая иерархия.

Матрица ниже - это стандартный вид из коробки. Пользовательские роли позволяют выражать вещи вроде «создавать ссылки только для этого домена» или «только чтение аналитики, без доступа к биллингу» в виде Cedar-политик. Роли привязаны к рабочему пространству, поэтому разные бизнес-подразделения могут иметь разные структуры ролей.

Built-in role permissions

Cedar policies · custom roles override

Permission	Owner	Admin	Member	Read-only	API key
Create / edit links
Manage custom domains
View analytics
Manage billing
Invite & manage members
Rotate API keys

Allowed

Scoped - set via Cedar policy

Denied

Policy eval at request time, not at loginaudit · every change

Посмотреть модель безопасности →Руководство по пользовательским ролям → документация

Что корпоративный IT на самом деле получает

SAML SSO + SCIM через нашего SSO-провайдера или нативно - Okta, Entra ID, Google
Основная база в ЕС; выбора региона для рабочего пространства пока нет
SOC 2 в подготовке, отчёт не выпущен
ISO 27001 не сертифицирован; DPA доступен по запросу
BAA на Business+ для нагрузок, смежных с HIPAA
Выделенные edge POP доступны для Enterprise-контрактов

Что на самом деле нужно корпоративному IT от сокращателя ссылок

Сокращатели из категории «Shadow-IT» не проходят закупки по трем пунктам: кто имеет доступ, где находятся данные и можем ли мы их проверить. Перечисленные ниже функции закрывают эти пробелы.

Идентификация и инициализация

SAML SSO через WorkOS с инициализацией пользователей по SCIM

SSO реализовано через WorkOS, который поддерживает SAML 2.0 и OIDC для любой крупной IdP: Okta, Azure AD / Entra ID, Google Workspace, OneLogin, Ping и других. Сопоставление «домен почты → соединение» означает, что пользователи направляются к нужной IdP без каких-либо настроек с их стороны. Синхронизация каталогов SCIM автоматически инициализирует и удаляет пользователей: новые сотрудники, добавленные в соответствующую группу IdP, получают приглашение в рабочее пространство Elido в течение нескольких минут; увольняющиеся сотрудники отключаются в рамках цикла синхронизации SCIM без ручного тикета на офбординг. Группы из IdP сопоставляются с ролями рабочего пространства Elido; вы настраиваете маппинг один раз. Изменения ролей в IdP распространяются автоматически. Это интеграция на базе WorkOS - мы не поддерживаем коннектор для каждой IdP; WorkOS нормализует протоколы, а Elido использует единую конечную точку SCIM.

Модель авторизации

Кастомные роли с RBAC в стиле Cedar - больше чем просто владелец/админ/участник

Модель ролей Elido основана на Cedar, что означает, что разрешения - это выражения политик, вычисляемые во время запроса, а не фиксированная трехэтапная иерархия. «Из коробки» вы получаете роли: Владелец, Админ, Участник и Наблюдатель. Кастомные роли позволяют определять политики вроде «может создавать ссылки на этом домене, но не может удалять или изменять правила маршрутизации» или «доступ только для чтения к аналитике, но нет доступа к настройкам биллинга». Роли назначаются для каждого рабочего пространства, а не глобально - корпорация с несколькими рабочими пространствами может иметь разные структуры ролей для разных бизнес-подразделений. Белый список IP (диапазоны CIDR) оценивается вместе с проверкой ролей: пользователю с правильной ролью, но находящемуся вне разрешенного диапазона IP, будет отказано в доступе. Это актуально для гибридных команд, где подрядчики имеют доступ к другому набору ресурсов, чем штатные сотрудники.

Аудит и SIEM

Журнал аудита с режимом «только добавление», передаваемый в вашу SIEM в реальном времени

Каждое действие в рабочем пространстве - создание, изменение и удаление ссылок; изменение настроек; приглашение участников и смена ролей; выпуск и ротация API-ключей; привязка пользовательского домена; экспорт - попадает в журнал аудита только для добавления с указанием исполнителя, временной метки, исходного IP, диффа до/после и структурированного типа события. Журналы хранятся 730 дней по умолчанию, настраивается для каждого рабочего пространства. SIEM-поток передаёт события через вебхук (с подписью HMAC-SHA256) в Splunk, Datadog, ELK или любой HTTP-приёмник в реальном времени. Журнал можно запрашивать в панели, но нельзя редактировать; в приложении он работает только на добавление, и каждая запись связана хеш-цепочкой с предыдущей, поэтому подмена обнаруживается. Позиция по комплаенсу: журнал аудита - основное доказательство для проверок доступа, управления изменениями и реагирования на инциденты. Когда старые записи выходят за срок хранения, в журнал заносится метасобытие «retention purge», поэтому сам пропуск тоже поддаётся аудиту.

Управление данными

Резидентство в ЕС, белый список IP и экспорт в BigQuery для соблюдения требований по управлению данными

Основная база данных, аналитическое хранилище и резервные копии размещены в ЕС. Узлы редиректов в США (Ashburn) и Сингапуре тоже обрабатывают запросы посетителей; выбор региона для отдельного рабочего пространства пока недоступен. Allowlist IP-адресов (CIDR) на Business ограничивает доступ к рабочему пространству известными исходящими диапазонами - удобно для команд на VPN или с фиксированными офисными IP. Экспорт в BigQuery отправляет полный поток событий кликов и аудит-лога в ваш собственный набор данных BigQuery по расписанию или по триггеру. Snowflake и S3 тоже поддерживаются. Для регулируемых нагрузок, где данные должны оставаться в определённой инфраструктуре, self-hosting доступен по договору (Enterprise); пишите на [email protected]. HIPAA BAA доступен на Business+ - технические меры защиты (шифрование, аудит-лог, контроль доступа, уведомление о нарушениях) настроены; BAA лишь юридическая обёртка вокруг них.

Проверка поставщика

Доказательства соответствия: DPA, субпроцессоры, статус безопасности

На вопросы закупок мы отвечаем без долгой переписки: DPA доступен по запросу на [email protected] (EU SCC включены); список субпроцессоров публичен на /legal/subprocessors (13 поставщиков); о уязвимостях сообщайте на [email protected], а security.txt лежит по стандартному пути. Статус сертификации без прикрас: SOC 2 в подготовке, отчёт не выпущен; ISO 27001 не сертифицирован. Актуальное состояние отслеживает Trust Center на /trust.

Стек, с которым вы будете работать

SSO (SAML / OIDC)
Предоставление SCIM
Пользовательские роли (RBAC)
Список разрешенных IP
Журнал аудита + поток SIEM
Резидентство данных в ЕС
HIPAA BAA

Что измеряет ваша команда безопасности

Количество субпроцессоров: 13, список публичный
Хранение журнала аудита: 730 дней по умолчанию
Время ответа DSAR: Менее 30 дней

Elido против Bitly Enterprise и Bl.ink для корпоративного IT

Bitly Enterprise и Bl.ink - это варианты корпоративного уровня с большой базой установок. Приведенное ниже сравнение сосредоточено на функциях, которые оценивают корпоративные IT-команды, а не на маркетинговых заявлениях.

Возможность	Elido	Bitly Enterprise	Bl.ink
Протокол SSO	SAML 2.0 + OIDC через WorkOS	SAML 2.0 на тарифе Enterprise	SAML 2.0 на тарифе Enterprise
Инициализация SCIM	Business и выше, через WorkOS	Только тариф Enterprise	Доступно на Enterprise
Кастомные роли (RBAC)	Выражения политик на базе Cedar	Фиксированные уровни ролей	Детализированные, документированные
Белый список IP	CIDR, Business+	Только Enterprise	Доступно
Журнал аудита → SIEM	Поток вебхуков в реальном времени	Ежедневный экспорт; real-time как Enterprise-аддон	На базе API; подключение SIEM вручную
Хранение журнала аудита	730 дней по умолчанию, настраивается	Стандартно 1 год	Настраивается на Enterprise
Резидентство данных в ЕС	По умолчанию для всех тарифов	Опционально на Enterprise	Доступно; не по умолчанию
Экспорт в BigQuery	По расписанию, Business+	Не документировано	На базе API; нет нативного экспорта

Вопросы от корпоративного IT

Какие IdP поддерживает SSO?

Любую IdP, поддерживающую SAML 2.0 или OIDC: Okta, Azure AD / Entra ID, Google Workspace, OneLogin, Ping, Rippling и другие. Интеграция осуществляется через WorkOS, который нормализует различия протоколов. Если ваша IdP поддерживает SAML или OIDC, она будет работать. Настройка представляет собой процесс под руководством WorkOS: настройте SAML-приложение в вашей IdP, вставьте URL метаданных в Elido, и готово.

Как работает деинициализация через SCIM?

WorkOS управляет конечной точкой SCIP 2.0. Когда пользователь удаляется из соответствующей группы в вашей IdP, WorkOS отправляет событие DELETE в Elido. Elido немедленно аннулирует токены сессии пользователя и помечает аккаунт как неактивный. Активные API-ключи, связанные с этим пользователем, не аннулируются автоматически - это отдельный шаг, который вы настраиваете в параметрах SCIM (по умолчанию: аннулировать при деинициализации). Действие по удалению появляется в журнале аудита в рамках цикла синхронизации SCIM (обычно менее 5 минут).

Что охватывает белый список IP?

Вход в панель управления, запросы к API и подтверждение доставки вебхуков. Поддерживается нотация CIDR; несколько диапазонов разделяются запятыми. Запросы извне белого списка возвращают ошибку 403 с записью события в журнале аудита - никаких тихих сбросов. Белый список IP оценивается после аутентификации, а не до нее, поэтому неудачная попытка входа извне белого списка все равно фиксируется.

Можно ли получить BAA для соответствия HIPAA?

Да, на тарифе Business+. BAA охватывает роль Elido как делового партнера для рабочих пространств, где PHI (защищенная медицинская информация) может проходить через метаданные ссылок или аналитику. Технические меры защиты (шифрование при хранении и передаче, аудиторский след, контроль доступа, уведомление о взломе) уже действуют. Свяжитесь с [email protected] для получения шаблона BAA.

Каков статус SOC 2?

SOC 2 в подготовке, отчёт не выпущен. ISO 27001 не сертифицирован. Мы не предоставляем аудиторских доказательств, которых у нас нет; напишите на [email protected], чтобы получить актуальные ответы на опросник по безопасности. Актуальное состояние отслеживает Trust Center на /trust.

Как работают кастомные роли - могу ли я ограничить команду доступом только для чтения на конкретном домене?

Да. Кастомные роли определяют политики на базе Cedar, которые могут ограничивать разрешения конкретными доменами, папками или операциями (создание/чтение/обновление/удаление). Роль, разрешающая создание ссылок только на определенном собственном домене и доступ к аналитике только для чтения, является допустимой политикой. Роли привязаны к рабочему пространству; пользователь может иметь разные роли в разных рабочих пространствах. Оценка политики происходит в момент запроса, а не при входе в систему.

Есть ли выделенный вариант edge-узла для клиентов Business?

Тариф Business использует общие edge POP-узлы Elido (регион ЕС, восток США, Азиатско-Тихоокеанский регион). Выделенный edge - ваш собственный парк узлов редиректа, изолированный по трафику от других арендаторов - это тема для Enterprise-обсуждения. Свяжитесь с [email protected]. Self-hosting также доступен по договору (Enterprise).

Каков SLA по уведомлению о взломе?

24 часа на уведомление клиента о подтвержденных утечках персональных данных; 72 часа на уведомление регулятора (GDPR Art. 33). Уведомление охватывает то, что нам известно на тот момент - мы не ждем завершения полной криминалистической экспертизы. Процесс описан на /trust/incident-response.