← Оберіть кут, який підходить вашій команді

Для корпоративного IT

Скорочувач, який ваша команда безпеки не відхилить.

Ви вимірюєте відповідність вимогам, час реагування на інциденти та кількість анкет постачальників, які ви можете витримати. Elido - це скорочувач, який ваша команда безпеки не відхилить.

Зв'язатися з відділом продажів Читати звіт довіри

SAML SSO + SCIM через нашого SSO-провайдера або нативно - Okta, Entra ID, Google
Основна база в ЄС; вибору регіону для робочого простору поки немає
SOC 2 у підготовці, звіт не видано
ISO 27001 не сертифіковано; DPA доступний на запит

Where data is hosted

EU-hosted primary data

Default + EU residency

Redirect edge nodes (no per-workspace region choice)

SAML + OIDC

Протокол SSO

WorkOS

Провайдер SSO/SCIM

730 днів

Зберігання аудит-логу за замовчуванням (налаштовується)

SOC 2

У підготовці, звіт не видано

Як працює SSO

Okta або Entra ID → SAML → Elido. Дванадцять хвилин від холодного старту.

SSO маршрутизується через WorkOS, який нормалізує протокольні відмінності між SAML 2.0 та OIDC і специфіку кожного IdP, яку ніхто не хоче підтримувати самостійно. Ваша команда налаштовує SAML-застосунок один раз у своєму IdP; Elido підбирає користувачів за допомогою маппінгу email-домен → з'єднання.

Step 1
User signs in
okta.com / login.microsoftonline.com
IdP authenticates against the corporate directory.
Step 2
SAML assertion
WorkOS connection · domain-routed
Email-domain → IdP connection mapping, no per-user setup.
Step 3
Elido session
edge auth · 200 OK
Session token issued, scope derived from group claims.
Step 4
Workspace landing
app.elido.app/w/your-org
Role + IP allowlist evaluated; audit row written.

Провізіонінг SCIM

Додайте користувача в Okta. Через п'ять хвилин він у Elido.

Синхронізація каталогу SCIM 2.0 автоматично провізіонує та депровізіонує користувачів. Маппінг групових претензій перетворює групи IdP на ролі робочого простору Elido - тому підвищення в системі HR автоматично відображається в Elido без тікета. Співробітники, що звільняються, депровізіонуються протягом циклу синхронізації SCIM, з відкликанням активних сесій і записом дії в журнал.

Автопровізіонінг при додаванні до групи
Членство в групі IdP → запрошення до робочого простору, без ручних кроків
Маппінг ролей за груповими претензіями
engineering-eu → editor, finance → viewer, налаштовується
Депровізіонінг = відкликання сесії
Подія DELETE анулює токени; API-ключі відкликаються за політикою
Кожна подія SCIM аудитується
Журнал лише з додаванням: актор, стан до/після, вихідна IP

Детальне занурення в SCIM та SSO →

SCIM directory sync

workspace · acme-eu

Live · WorkOS

1
User added in Okta
Joins the elido-eu-engineering directory group as part of HR onboarding.
okta.comPOST /scim/v2/Users
T+75s
2
WorkOS pushes to Elido
SCIM sync cycle picks up the create event; no manual invite needed.
workos.com → elido.appscim.create user@org
T+150s
3
Elido provisions the user
Account created, workspace invitation surfaced in pending state.
api-coreuser.id = usr_01HK…
T+225s
4
Group claim → role
engineering → editor; billing-admins → admin. Mapping is configurable.
policyrole: editor (workspace.eu)
T+300s
Deprovision is the same flow in reverse - DELETE event revokes sessions and rotates affected API keys per policy.

Модель авторизації

RBAC на основі Cedar, а не фіксована триступенева ієрархія.

Матриця нижче - це стандартний вигляд з коробки. Кастомні ролі дозволяють виражати речі на кшталт «створювати посилання лише для цього домену» або «лише читання аналітики, без доступу до білінгу» у вигляді Cedar-політик. Ролі прив'язані до робочого простору, тому різні бізнес-підрозділи можуть мати різні структури ролей.

Built-in role permissions

Cedar policies · custom roles override

Permission	Owner	Admin	Member	Read-only	API key
Create / edit links
Manage custom domains
View analytics
Manage billing
Invite & manage members
Rotate API keys

Allowed

Scoped - set via Cedar policy

Denied

Policy eval at request time, not at loginaudit · every change

Переглянути модель безпеки →Посібник з кастомних ролей → документи

Що корпоративний IT насправді отримує

SAML SSO + SCIM через нашого SSO-провайдера або нативно - Okta, Entra ID, Google
Основна база в ЄС; вибору регіону для робочого простору поки немає
SOC 2 у підготовці, звіт не видано
ISO 27001 не сертифіковано; DPA доступний на запит
BAA на Business+ для навантажень, суміжних із HIPAA
Виділені edge POP доступні для Enterprise-контрактів

Що корпоративному IT насправді потрібно від сервісу скорочення посилань

Сервіси «тіньового IT» не проходять закупівлі через три питання: хто має доступ, де знаходяться дані та чи можемо ми провести аудит. Функції нижче закривають ці прогалини.

Ідентифікація та керування доступами

SAML SSO через WorkOS із SCIM-підготовкою користувачів

SSO працює через WorkOS, що підтримує SAML 2.0 та OIDC з будь-яким великим IdP: Okta, Azure AD / Entra ID, Google Workspace, OneLogin, Ping та іншими. Мапінг доменів електронної пошти дозволяє спрямовувати користувачів до потрібного IdP без жодних налаштувань з їхнього боку. Синхронізація каталогів SCIM автоматично створює та видаляє користувачів: нові співробітники, додані у відповідну групу IdP, отримують запрошення в робочий простір Elido за лічені хвилини; звільнені співробітники видаляються під час циклу синхронізації SCIM без створення ручного запиту. Групи з IdP мапляться на ролі в робочому просторі Elido; ви налаштовуєте мапінг один раз. Зміни ролей в IdP поширюються автоматично. Це інтеграція на базі WorkOS - ми не підтримуємо окремі конектори для кожного IdP; WorkOS нормалізує протоколи, а Elido використовує єдину кінцеву точку SCIM.

Модель авторизації

Спеціальні ролі з Cedar-style RBAC - більше ніж власник/адмін/учасник

Модель ролей Elido базується на Cedar, що означає, що дозволи - це політики, які обчислюються під час запиту, а не фіксована трирівнева ієрархія. З коробки ви отримуєте ролі Власник, Адмін, Учасник та Глядач. Спеціальні ролі дозволяють визначати такі політики, як «може створювати посилання на цьому домені, але не може видаляти або змінювати правила маршрутизації» або «доступ тільки для читання аналітики без доступу до налаштувань білінгу». Ролі призначаються для кожного робочого простору окремо - корпорація з кількома просторами може мати різну структуру ролей для кожного підрозділу. Список дозволених IP (діапазони CIDR) перевіряється разом із ролями: користувачеві з відповідною роллю, але за межами дозволеного діапазону IP, буде відмовлено. Це важливо для гібридних команд, де підрядники мають інший рівень доступу, ніж штатні працівники.

Аудит та SIEM

Журнал аудиту тільки для запису, що транслюється у ваш SIEM у реальному часі

Кожна дія в робочому просторі - створення, оновлення, видалення посилання; зміна налаштувань; запрошення учасників та зміна ролей; випуск і ротація API-ключів; підтвердження власного домену; експорт - потрапляє в аудит-лог лише з додаванням із ініціатором, міткою часу, вихідною IP-адресою, різницею до/після та структурованим типом події. Логи зберігаються 730 днів за замовчуванням, налаштовується для кожного робочого простору. SIEM firehose у реальному часі передає події через вебхук (підпис HMAC-SHA256) до Splunk, Datadog, ELK або будь-якого HTTP-приймача. Лог можна запитувати в панелі керування, але не редагувати; лог є append-only на рівні застосунку, а кожен запис пов'язаний хеш-ланцюгом із попереднім, тож втручання можна виявити. Позиція щодо відповідності: аудит-лог є основним доказом для переглядів контролю доступу, управління змінами та реагування на інциденти. Метаподія «очищення за терміном зберігання» логується, коли старі записи видаляються, тож сама прогалина піддається аудиту.

Управління даними

Резидентність даних у ЄС, список дозволених IP та експорт у BigQuery для відповідності вимогам

Основна база даних, аналітичне сховище та резервні копії розміщені в ЄС. Вузли редиректів у США (Ashburn) і Сінгапурі також обробляють запити відвідувачів; вибір регіону для окремого робочого простору поки недоступний. Allowlist IP-адрес (CIDR) на Business обмежує доступ до робочого простору відомими вихідними діапазонами - зручно для команд на VPN або з фіксованими офісними IP. Експорт у BigQuery надсилає повний потік подій кліків і аудит-логу у ваш власний набір даних BigQuery за розкладом або за тригером. Snowflake і S3 також підтримуються. Для регульованих навантажень, де дані мають залишатися в певній інфраструктурі, self-hosting доступний за договором (Enterprise); пишіть на [email protected]. HIPAA BAA доступний на Business+ - технічні заходи захисту (шифрування, аудит-лог, контроль доступу, повідомлення про порушення) налаштовані; BAA є лише юридичною обгорткою навколо них.

Перевірка постачальника

Докази відповідності: DPA, субпроцесори, статус безпеки

На питання закупівель ми відповідаємо без довгого листування: DPA доступний на запит за адресою [email protected] (EU SCC включені); список субпроцесорів публічний на /legal/subprocessors (13 постачальників); повідомлення про вразливості надсилайте на [email protected], а security.txt лежить за стандартним шляхом. Статус сертифікації без прикрас: SOC 2 у підготовці, звіт не видано; ISO 27001 не сертифіковано. Актуальний стан відстежує Trust Center на /trust.

Стек, з яким ви будете працювати

SSO (SAML / OIDC)
SCIM provisioning
Власні ролі (RBAC)
IP allowlist
Audit log + SIEM firehose
Розміщення даних у ЄС
HIPAA BAA

Що вимірює ваша команда безпеки

Кількість субпідрядників: 13, список публічний
Збереження журналу аудиту: 730 днів за замовчуванням
Час відповіді DSAR: Менше 30 днів

Elido проти Bitly Enterprise проти Bl.ink для корпоративного IT

Bitly Enterprise та Bl.ink - це варіанти корпоративного рівня з великою клієнтською базою. Порівняння нижче зосереджено на функціях, які оцінюють корпоративні IT-команди, а не на маркетингових заявах.

Можливість	Elido	Bitly Enterprise	Bl.ink
Протокол SSO	SAML 2.0 + OIDC через WorkOS	SAML 2.0 на тарифі Enterprise	SAML 2.0 на Enterprise
SCIM-підготовка	Business та вище, через WorkOS	Тільки тариф Enterprise	Доступно на Enterprise
Спеціальні ролі (RBAC)	Політики на базі Cedar	Фіксовані рівні ролей	Гранулярно, задокументовано
Список дозволених IP	CIDR, Business+	Тільки Enterprise	Доступно
Журнал аудиту → SIEM	Потік вебхуків у реальному часі	Щоденний експорт; реальний час як аддон Enterprise	На основі API; підключення SIEM вручну
Зберігання журналу аудиту	730 днів за замовчуванням, налаштовується	Стандартно 1 рік	Налаштовується на Enterprise
Резидентність даних у ЄС	За замовчуванням для всіх планів	Опціонально на Enterprise	Доступно; не за замовчуванням
Експорт у BigQuery	За розкладом, Business+	Не задокументовано	На основі API; немає нативного експорту

Питання корпоративного IT

Які IdP підтримує SSO?

Будь-який IdP, що підтримує SAML 2.0 або OIDC - Okta, Azure AD / Entra ID, Google Workspace, OneLogin, Ping, Rippling та інші. Інтеграція здійснюється через WorkOS, яка нормалізує різницю в протоколах. Якщо ваш IdP підтримує SAML або OIDC, він працюватиме. Налаштування - це керований процес через WorkOS: налаштуйте додаток SAML у вашому IdP, вставте URL-адресу метаданих в Elido, готово.

Як працює деprovisioning через SCIM?

WorkOS обробляє кінцеву точку SC 2.0. Коли користувача видаляють із відповідної групи у вашому IdP, WorkOS надсилає подію DELETE в Elido. Elido негайно анулює токени сесії користувача та позначає акаунт як неактивний. Активні API-ключі, пов'язані з цим користувачем, не анулюються автоматично - це окремий крок, який ви налаштовуєте в параметрах SCIM (за замовчуванням - анулювати при видаленні). Дія видалення з'являється в журналі аудиту протягом циклу синхронізації SCIM (зазвичай менше 5 хвилин).

Що охоплює список дозволених IP?

Вхід у панель керування, запити до API та підтвердження доставки вебхуків. Підтримується нотація CIDR; кілька діапазонів розділяються комами. Запити з-за меж дозволеного списку повертають 403 із зареєстрованою подією аудиту - ніяких тихих скидань. Список дозволених IP перевіряється після автентифікації, а не до неї, тому невдала спроба автентифікації з-за меж списку все одно фіксується.

Чи можемо ми отримати BAA для відповідності HIPAA?

Так, на тарифі Business+. BAA охоплює роль Elido як ділового партнера (business associate) для робочих просторів, де PHI може проходити через метадані посилань або аналітику. Технічні засоби захисту (шифрування при зберіганні та передачі, аудит, контроль доступу, сповіщення про порушення) уже впроваджені. Зверніться до [email protected] за шаблоном BAA.

Який статус SOC 2?

SOC 2 у підготовці, звіт не видано. ISO 27001 не сертифіковано. Ми не надаємо аудиторських доказів, яких не маємо; напишіть на [email protected], щоб отримати актуальні відповіді на анкету з безпеки. Актуальний стан відстежує Trust Center на /trust.

Як працюють спеціальні ролі - чи можу я обмежити команду лише читанням конкретного домену?

Так. Спеціальні ролі визначають політики на базі Cedar, які можуть обмежувати дозволи конкретними доменами, папками або операціями (створення/читання/оновлення/видалення). Роль, що дозволяє створювати посилання лише на конкретному власному домені та надає доступ до аналітики тільки для читання, є валідною політикою. Ролі призначаються для кожного робочого простору; користувач може мати різні ролі в різних просторах. Перевірка політик відбувається під час запиту, а не під час входу.

Чи є виділений edge-вузол для клієнтів Business?

Тариф Business використовує спільні edge POPs Elido (регіон ЄС, схід США, Азійсько-Тихоокеанський регіон). Виділений edge - ваш власний флот вузлів перенаправлення, ізольований від трафіку інших орендарів - це тема для обговорення на рівні Enterprise. Зв'яжіться з [email protected]. Self-hosting також доступний за договором (Enterprise).

Який SLA щодо сповіщення про порушення безпеки?

24 години для сповіщення клієнта про підтверджене порушення персональних даних; 72 години для сповіщення регулятора (GDPR Art. 33). Сповіщення охоплює те, що нам відомо на той момент - ми не чекаємо повного завершення криміналістичної експертизи. Процес описано на /trust/incident-response.