कंटेंट पर जाएँ
सिक्योरिटी

Wixzel Voice की सिक्योरिटी

Wixzel Voice कैरियर पासवर्ड को एन्क्रिप्ट करके रखता है, API की को सिर्फ़ पेपर वाले हैश के रूप में स्टोर करता है, हर webhook को साइन करता है, और API व उसका डेटा मुंबई, भारत में रखता है। यह पेज बताता है कि आज कोड क्या लागू करता है, क्या अभी लागू नहीं है, और किसी कमज़ोरी की रिपोर्ट कैसे करें।

आखिरी अपडेट

प्रकाशित

Wixzel Voice एक वॉइस AI API है, जिससे ऐसे AI एजेंट बनते हैं जो आपके अपने SIP ट्रंक पर असली फ़ोन कॉल करते और उनका जवाब देते हैं, या आपके वेब और मोबाइल ऐप में लोगों से बात करते हैं। एक API की और एक प्रीपेड बैलेंस हर वॉइस इंजन को कवर करते हैं, और बिल असली इस्तेमाल के हर सेकंड के हिसाब से बनता है। इसका मतलब है कि इसके पास बचाने लायक तीन चीज़ें हैं: आपके कैरियर क्रेडेंशियल, आपका बैलेंस खर्च करने वाली की, और आपके एजेंट की कॉल का ऑडियो, ट्रांसक्रिप्ट और कॉन्टैक्ट।

Wixzel Voice क्या एन्क्रिप्ट, हैश और साइन करता है?

Wixzel Voice के सिक्योरिटी उपाय
तथ्यवैल्यूस्रोत
कैरियर (SIP ट्रंक) पासवर्डनई और अपडेट की गई वैल्यू हर डिप्लॉयमेंट की अपनी की से AES-256-GCM में एन्क्रिप्ट करके रखी जाती हैं; पुरानी वैल्यू अगली बार सेव होने पर फिर से एन्क्रिप्ट होती हैं; API इन्हें फिर कभी नहीं लौटाताAPI: क्रेडेंशियल एन्क्रिप्शन
API कीसिर्फ़ एक बार दिखाई जाती है; सर्वर-साइड पेपर के साथ सिर्फ़ HMAC-SHA256 के रूप में स्टोर होती है; स्कोप वाली, कोई एडमिन स्कोप नहींAPI: की
MCP कनेक्टर साइन इनOAuth 2.1 ऑथराइज़ेशन कोड फ़्लो, सिर्फ़ S256 के साथ PKCE; टोकन एक स्कोप वाली, रिवोक की जा सकने वाली API की हैडॉक्स: MCP सर्वर
Webhookसाइन किए हुए: X-Wixzel-Signature रॉ बॉडी का HMAC-SHA256 है; प्राइवेट नेटवर्क के अंदर के URL मना किए जाते हैंडॉक्स: Webhooks
पैसे वाले पाथPOST /v1/calls, POST /v1/agents/{id}/test-call और POST /v1/billing/topups पर Idempotency-Key ज़रूरी; 24 घंटे तक रखी जाती हैAPI: idempotency
रेट लिमिटहर की पर प्रति सेकंड 10 रिक्वेस्ट, बर्स्ट 20; लॉगिन और साइन अप हर IP और हर ईमेल पर थ्रॉटल किए जाते हैंडॉक्स: Rate limits
ट्रांसपोर्टAPI, कंसोल और MCP सर्वर से HTTPS और WebSocket कनेक्शन पर TLS, एक साल के HSTS के साथ, सबडोमेन समेत। आपके कैरियर तक SIP ट्रंक के ट्रांसपोर्ट का इस्तेमाल करता है (डिफ़ॉल्ट रूप से UDP, कॉन्फ़िगर करने पर TLS), और कॉल ऑडियो (RTP) एन्क्रिप्टेड नहीं होताAPI: HTTP हार्डनिंग, SIP कॉन्फ़िगरेशन
अकाउंट पासवर्डbcrypt, कॉस्ट 12API: अकाउंट
डेटा कहाँ रहता हैHostinger, मुंबई, भारत; कंसोल और वेबसाइट Vercel परप्राइवेसी पॉलिसी
कार्ड नंबरWixzel Voice तक कभी नहीं पहुँचते; Dodo Payments मर्चेंट ऑफ़ रिकॉर्ड हैतथ्य
कमज़ोरी की रिपोर्ट करेंaqeel@wixzel.com, जैसा /.well-known/security.txt में दिया हैsecurity.txt

Wixzel Voice कैरियर पासवर्ड कैसे सुरक्षित रखता है?

आपके कैरियर से कॉल करने के लिए Wixzel Voice को आपके SIP ट्रंक का पासवर्ड चाहिए, इसलिए वह उसे हैश नहीं कर सकता; वह उसे एन्क्रिप्ट करता है। नए और अपडेट किए गए ट्रंक पासवर्ड, और प्लेटफ़ॉर्म किसी ग्राहक की ओर से जो भी दूसरा थर्ड-पार्टी क्रेडेंशियल रखता है, वे सब AES-256-GCM से एन्क्रिप्ट करके रखे जाते हैं। मास्टर की scrypt से एक ऐसे सीक्रेट से बनाई जाती है जो सिर्फ़ डिप्लॉयमेंट के एनवायरनमेंट में मौजूद है, हर वैल्यू को HKDF से अपनी मैसेज की मिलती है, और हर सिफ़रटेक्स्ट पर उस की का id लगा होता है जिसने उसे लिखा, ताकि आगे की रोटेशन में वैल्यू खोने के बजाय उन्हें फिर से रैप किया जा सके। पुराने तरीके से लिखी गई वैल्यू अब भी पढ़ी जाती हैं, और अगली बार सेव होने पर इसी तरह फिर से एन्क्रिप्ट होती हैं।

GCM ऑथेंटिकेटेड है: डेटाबेस में बदला गया सिफ़रटेक्स्ट किसी दूसरे पासवर्ड में बदलने के बजाय डिक्रिप्ट ही नहीं होता। जो क्रेडेंशियल डिक्रिप्ट नहीं होता, उसे खाली मानने के बजाय साफ़ एरर के साथ मना कर दिया जाता है, ताकि कोई ट्रंक कभी चुपचाप बिना ऑथेंटिकेशन वाला न बन जाए। API ट्रंक पासवर्ड फिर कभी नहीं लौटाता, आपको भी नहीं।

आपकी ट्रंक सेटिंग से बनने वाला टेलीफ़ोनी कॉन्फ़िगरेशन इंजेक्शन से सुरक्षित बनाया गया है, और उसका जनरेटर इसी बात के लिए फ़ज़-टेस्ट किया जाता है।

Wixzel Voice API की कैसे स्टोर करता है और उनके स्कोप कैसे तय करता है?

wv_live_ की सिर्फ़ एक बार दिखाई जाती है। Wixzel Voice उसका HMAC-SHA256 स्टोर करता है, जो सर्वर-साइड पेपर से बनता है, इसलिए सिर्फ़ डेटाबेस की कॉपी से कोई की न वापस पाई जा सकती है, न ब्रूट-फ़ोर्स की जा सकती है। प्रीफ़िक्स और आखिरी चार कैरेक्टर सिर्फ़ इसलिए रखे जाते हैं ताकि आप लिस्ट में की पहचान सकें।

  • स्कोप। हर की में सिर्फ़ वही स्कोप होते हैं जो आप देते हैं, जैसे calls:read या sip_trunks:write। कोई एडमिन स्कोप नहीं है, इसलिए कोई भी की सब कुछ नहीं कर सकती।
  • खर्च की सीमा। की में spend_limit_micros हो सकता है; जब कोई की अपनी सीमा तक खर्च कर लेती है, तो उससे की गई कॉल डायल होने से पहले मना कर दी जाती हैं।
  • एक्सपायरी और रोटेशन। की में expires_at हो सकता है। POST /v1/api-keys/{id}/rotate एक नई की जारी करता है और पुरानी की को 24 घंटे तक चालू रखता है, ताकि किसी डिप्लॉय के दौरान एक पल भी ऐसा न हो जब कोई वैध की न हो।
  • रिवोक करना। की रिवोक करने पर वह तुरंत ऑथेंटिकेशन कैश से हट जाती है, इसलिए अगली रिक्वेस्ट से ही काम करना बंद कर देती है।
  • अलगाव। हर रिसोर्स एक ही अकाउंट का होता है, और हर क्वेरी सिर्फ़ उसी अकाउंट तक सीमित होती है जिसने उसे भेजा।

Wixzel Voice MCP कनेक्टर साइन इन कैसे करता है?

claude.ai, Claude Desktop और Claude Code जैसे AI क्लाइंट Wixzel Voice MCP सर्वर से API में बने OAuth 2.1 ऑथराइज़ेशन सर्वर के ज़रिए जुड़ते हैं। क्लाइंट खुद को रजिस्टर करते हैं (RFC 7591), आपको मंज़ूरी देने के लिए कंसोल पर भेजते हैं, और कोड के बदले टोकन लेते हैं। PKCE ज़रूरी है, सिर्फ़ S256; plain तरीका मना किया जाता है।

क्लाइंट को मिलने वाला टोकन एक सामान्य स्कोप वाली API की है, जिसमें सिर्फ़ वही स्कोप होते हैं जिन्हें आपने मंज़ूरी दी, और अनुमति रिवोक करने पर की भी रिवोक हो जाती है। OAuth एंडपॉइंट कभी API की को क्रेडेंशियल के रूप में स्वीकार नहीं करते: क्लाइंट PKCE से अपनी पहचान साबित करता है, और अगर उसने रजिस्टर करते समय क्लाइंट सीक्रेट लिया था तो उससे भी।

Wixzel Voice webhook कैसे साइन करता है?

हर webhook POST में X-Wixzel-Signature होता है, जो आपके webhook सीक्रेट से बना रॉ बॉडी का HMAC-SHA256 है। इसे पार्स करने से पहले रॉ बाइट्स पर वेरिफ़ाई करें, और कॉन्स्टेंट टाइम में तुलना करें। सीक्रेट सिर्फ़ एक बार लौटाया जाता है, जब आप उसे रोटेट करते हैं, और GET /v1/webhook उसे कभी नहीं लौटाता, इसलिए लीक हुई पढ़ने वाली की से नकली इवेंट नहीं बनाए जा सकते।

जो webhook URL लूपबैक, लिंक-लोकल या प्राइवेट एड्रेस स्पेस पर जाता है, उसे सेट करते समय और फिर डिलीवरी के समय 400 unsafe_webhook_url के साथ मना किया जाता है, और रीडायरेक्ट फ़ॉलो नहीं किए जाते। प्लेटफ़ॉर्म उन एड्रेस तक पहुँच सकता है जहाँ आप नहीं पहुँच सकते, इसलिए उसे उनकी ओर नहीं मोड़ा जा सकता।

Wixzel Voice पर दोबारा भेजी गई रिक्वेस्ट को दो बार चार्ज करने से क्या रोकता है?

POST /v1/calls, POST /v1/agents/{id}/test-call और POST /v1/billing/topups के लिए Idempotency-Key ज़रूरी है। उसी की और उसी बॉडी के साथ दोबारा भेजने पर फिर से डायल या चार्ज करने के बजाय पहला रिस्पॉन्स लौटता है; उसी की के साथ अलग बॉडी 422 के साथ मना की जाती है। की 24 घंटे तक रखी जाती हैं। दोनों आधिकारिक SDK इन पाथ पर अपने आप एक की भेजते हैं।

कॉल लगने से पहले क्रेडिट रोक लिया जाता है, जो कॉल अपने पहले 15 सेकंड का खर्च नहीं उठा सकती वह कुछ भी तय होने से पहले 402 के साथ मना कर दी जाती है, और हर कॉल की कीमतें शुरू होते समय तय हो जाती हैं। कार्ड नंबर Wixzel Voice तक कभी नहीं पहुँचते: भुगतान Dodo Payments से होते हैं, जो मर्चेंट ऑफ़ रिकॉर्ड है।

Wixzel Voice को दुरुपयोग से क्या बचाता है?

  • API रेट लिमिट: हर की पर प्रति सेकंड 10 रिक्वेस्ट, 20 का बर्स्ट। 429 के साथ Retry-After आता है और उसका कभी चार्ज नहीं लगता।
  • साइन इन और साइन अप हर IP एड्रेस और हर ईमेल एड्रेस पर थ्रॉटल किए जाते हैं; पासवर्ड bcrypt से कॉस्ट 12 पर हैश होते हैं, और ईमेल से साइन अप उस पते पर भेजे गए कोड से कन्फ़र्म होता है।
  • कंसोल सेशन एक httpOnly कुकी में रहते हैं, कभी URL में नहीं; सेशन टोकन का साइनिंग एल्गोरिदम तय है; और आप एक साथ हर सेशन से साइन आउट कर सकते हैं।
  • नंबर खोजने वाले SIP स्कैनर कुछ समय के लिए बैन किए जाते हैं, और हर इनकमिंग कॉल की कोशिश पर कोई भी क्रेडिट रोकने से पहले हर सोर्स एड्रेस के हिसाब से रेट लिमिट लगती है, इसलिए मना किए गए ट्रैफ़िक का बिल कभी किसी को नहीं जाता।
  • एक साथ चलने वाली कॉल हर अकाउंट पर सीमित हैं, डिफ़ॉल्ट रूप से 5, ताकि एक अकाउंट प्लेटफ़ॉर्म की हर लाइन न ले सके।
  • HTTP हार्डनिंग: TLS रीडायरेक्ट, सबडोमेन समेत एक साल का HSTS, सिक्योरिटी हेडर, और रिक्वेस्ट बॉडी की तय सीमाएँ।
  • आपके कैरियर तक SIP ट्रंक पर सेट किया गया ट्रांसपोर्ट इस्तेमाल करता है: डिफ़ॉल्ट रूप से UDP, या अगर आप transport सेट करें तो TCP या TLS। कॉल ऑडियो (RTP) एन्क्रिप्टेड नहीं होता।

Wixzel Voice डेटा कहाँ स्टोर करता है, और उसे कौन प्रोसेस करता है?

Wixzel Voice API, उसके डेटाबेस और कॉल मीडिया Hostinger पर मुंबई, भारत में चलते हैं। कंसोल और यह वेबसाइट Vercel से सर्व होते हैं। कॉल के दौरान, एजेंट के इंजन के स्पीच और लैंग्वेज प्रोवाइडर (Deepgram, ElevenLabs, OpenRouter, Google या Sarvam) ऑडियो और टेक्स्ट प्रोसेस करते हैं; वे अमेरिका में हैं, सिवाय Sarvam के, जो स्पीच भारत में प्रोसेस करता है।

ट्रांसक्रिप्ट, और जहाँ कॉल रिकॉर्ड होती है वहाँ रिकॉर्डिंग, कॉल लॉग के साथ तब तक रखे जाते हैं जब तक आप उन्हें डिलीट न करें; DELETE /v1/calls/{id} लॉग, ट्रांसक्रिप्ट और रिकॉर्डिंग एक साथ हटाता है, और कंसोल से अकाउंट बंद करने पर उसमें मौजूद सब कुछ एक साथ डिलीट हो जाता है। रिक्वेस्ट लॉग तीन महीने बाद हटा दिए जाते हैं। सबप्रोसेसर की पूरी लिस्ट, हर एक की भूमिका और लोकेशन के साथ, प्राइवेसी पॉलिसी में है, और डेटा प्रोसेसिंग एडेंडम हर ग्राहक पर लागू होता है, 72 घंटे के अंदर ब्रीच की सूचना के साथ।

Wixzel Voice के डेटा का बैकअप कैसे होता है?

दोनों प्रोडक्शन डेटाबेस का हर घंटे डंप बनता है। हर हफ़्ते एक ड्रिल सबसे नया डंप एक अलग डेटाबेस में रीस्टोर करती है और जाँचती है कि हर अकाउंट का बैलेंस उसकी लेजर एंट्री के जोड़ के बराबर है, ताकि यह पक्का रहे कि बैकअप इस्तेमाल किया जा सकता है, सिर्फ़ मौजूद नहीं है।

एक सीमा, ईमानदारी से: बैकअप उसी सर्वर पर रखे जाते हैं, कहीं और कोई कॉपी नहीं है। वे खराब डिप्लॉय, खराब हुए डेटाबेस और गलती से डिलीट हुए डेटा से बचाते हैं; सर्वर ही खो जाने से नहीं बचाते।

Wixzel Voice में अभी क्या लागू नहीं है?

  • Wixzel Voice एक व्यक्ति चलाता है; प्रोडक्शन का एक्सेस सिर्फ़ उसी ऑपरेटर के पास है।
  • कोई SOC 2 रिपोर्ट या ISO 27001 सर्टिफ़िकेशन नहीं है।
  • कैरियर तक कॉल मीडिया एन्क्रिप्टेड नहीं है: कॉल ऑडियो (RTP) बिना SRTP के जाता है, और SIP सिग्नलिंग ट्रंक का ट्रांसपोर्ट इस्तेमाल करती है, जो UDP है जब तक आप TLS सेट न करें।
  • कोई ऑफ़-साइट बैकअप नहीं है: बैकअप उसी सर्वर पर रखे जाते हैं जिस पर डेटा है।
  • किसी API की को खास सोर्स IP एड्रेस तक सीमित करने का विकल्प अभी API या कंसोल में नहीं है।

Wixzel Voice में किसी कमज़ोरी की रिपोर्ट कैसे करें?

aqeel@wixzel.com पर ईमेल करें। यह पता /.well-known/security.txt में भी दिया गया है। बताएँ कि आपको क्या मिला, उसे दोबारा करने के स्टेप, और जुड़े हुए किसी भी रिस्पॉन्स का request_id। मैसेज ऑपरेटर पढ़ता है, और ज़्यादातर का जवाब एक कामकाजी दिन के अंदर मिल जाता है।

कृपया सिर्फ़ अपने अकाउंट और डेटा पर टेस्ट करें, दूसरे ग्राहकों के लिए सर्विस खराब न करें, और कोई समस्या प्रकाशित करने से पहले उसे ठीक करने के लिए उचित समय दें।

अक्सर पूछे जाने वाले सवाल

Wixzel Voice मेरा SIP ट्रंक पासवर्ड कैसे स्टोर करता है?

AES-256-GCM से एन्क्रिप्ट करके। हर नए या अपडेट किए गए पासवर्ड को अपनी मैसेज की मिलती है, जो HKDF से एक मास्टर की से बनती है, और वह मास्टर की खुद scrypt से एक ऐसे सीक्रेट से बनती है जो सिर्फ़ डिप्लॉयमेंट के पास है, और हर सिफ़रटेक्स्ट पर उस की का id होता है जिससे वह लिखा गया। पुराने तरीके से स्टोर की गई वैल्यू अब भी पढ़ी जाती हैं, और अगली बार सेव होने पर इसी तरह फिर से एन्क्रिप्ट होती हैं। GCM की वजह से छेड़छाड़ चुपचाप किसी दूसरे पासवर्ड में बदलने के बजाय डिक्रिप्शन फ़ेल्योर बन जाती है। API पासवर्ड फिर कभी नहीं लौटाता, आपको भी नहीं।

क्या Wixzel Voice मेरी API की देख सकता है?

नहीं। की सिर्फ़ एक बार दिखाई जाती है, जब वह बनती है, और सिर्फ़ उसका HMAC-SHA256 स्टोर होता है, जो सर्वर-साइड पेपर से बनता है। wv_live_ प्रीफ़िक्स और आखिरी चार कैरेक्टर इसलिए रखे जाते हैं ताकि आप लिस्ट में की पहचान सकें; स्टोर की गई किसी चीज़ से की दोबारा नहीं बनाई जा सकती। खोई हुई की को सिर्फ़ बदला जा सकता है।

कैसे पक्का करें कि कोई webhook Wixzel Voice से ही आया है?

अपने webhook सीक्रेट से रॉ रिक्वेस्ट बॉडी का HMAC-SHA256 निकालें और उसकी तुलना, कॉन्स्टेंट टाइम में, X-Wixzel-Signature हेडर से करें। सीक्रेट सिर्फ़ एक बार दिखाया जाता है, जब आप उसे POST /v1/webhook/rotate-secret से रोटेट करते हैं, और GET /v1/webhook उसे कभी नहीं लौटाता।

Wixzel Voice का डेटा कहाँ स्टोर होता है?

API, डेटाबेस और कॉल मीडिया Hostinger पर मुंबई, भारत में चलते हैं। अमेरिका और भारत के स्पीच और लैंग्वेज प्रोवाइडर कॉल चलने तक ऑडियो और टेक्स्ट प्रोसेस करते हैं, और sarvam इंजन स्पीच भारत में प्रोसेस करता है। सबप्रोसेसर की पूरी लिस्ट प्राइवेसी पॉलिसी में है।

क्या Wixzel Voice के पास कोई सिक्योरिटी सर्टिफ़िकेशन है?

आज नहीं। Wixzel Voice एक ऑपरेटर चलाता है; कोई SOC 2 या ISO 27001 रिपोर्ट नहीं है। यह पेज वे उपाय बताता है जो कोड लागू करता है, और डेटा प्रोसेसिंग एडेंडम प्रतिबद्धताएँ तय करता है, जिनमें 72 घंटे के अंदर ब्रीच की सूचना शामिल है।

Wixzel Voice में किसी सिक्योरिटी समस्या की रिपोर्ट कैसे करें?

aqeel@wixzel.com पर ईमेल करें, बताएँ कि आपको क्या मिला, उसे दोबारा कैसे करें, और जुड़े हुए किसी भी रिस्पॉन्स का request_id। यही पता /.well-known/security.txt में भी दिया गया है।

संबंधित

प्राइवेसी पॉलिसी

क्या इकट्ठा किया जाता है, क्यों, उसे कौन प्रोसेस करता है, और कितने समय तक रखा जाता है।

डेटा प्रोसेसिंग एडेंडम

हर ग्राहक पर लागू होने वाली प्रोसेसिंग की शर्तें, सबप्रोसेसर के साथ।

Wixzel Voice के तथ्य

ऑपरेटर, कीमतें, सीमाएँ, रिफ़ंड और डेटा की लोकेशन, एक पेज पर।

अपना पहला वॉइस एजेंट बनाएँ

साइन अपक्विकस्टार्ट पढ़ें