Bảo mật dữ liệu

Dữ liệu của bạn được bảo vệ thế nào

Trang này giải thích cách làm thực tế của website này và các hệ thống chúng tôi bàn giao, không phải tuyên bố bảo mật chung chung.

Tài khoản và quyền

Tài khoản quản trị và tài khoản thành viên của khách là hai hệ thống đăng nhập hoàn toàn riêng biệt, dùng khóa ký khác nhau. Vé đăng nhập của thành viên không qua được bước kiểm tra của trang quản trị; đây là sự tách biệt bằng mật mã học, không phải dựa vào logic chương trình.
Mọi trang "xem từng bản ghi" đều đối chiếu chủ sở hữu. Đổi URL hay đổi mã đơn hàng cũng không xem được dữ liệu của người khác.
Tài khoản quản trị do người phụ trách tạo, không có trang đăng ký công khai.

Mật khẩu và khóa

Mật khẩu chỉ lưu dạng băm bcrypt, không lưu bản gốc, cũng không ghi vào bất kỳ nhật ký nào.
Liên kết đặt lại mật khẩu chỉ lưu giá trị băm, có thời hạn, dùng xong là hết hiệu lực. Trước khi bật gửi email tự động, liên kết sẽ được đặt trong thông báo ở trang quản trị để chúng tôi giao tận tay chính chủ; đặt lại xong sẽ bị xóa khỏi thông báo.
Khóa API và mật khẩu cơ sở dữ liệu đặt trong biến môi trường phía máy chủ, không đưa vào quản lý phiên bản, không xuất hiện trong mã nguồn trang web.

Bản thân website

Chính sách bảo mật nội dung chặn script bên ngoài và script nội tuyến; website này không có JavaScript hay chương trình theo dõi nào của bên thứ ba.
Mọi biểu mẫu đều có mã chống giả mạo và giới hạn tần suất.
Mọi truy vấn cơ sở dữ liệu đều dùng câu lệnh tham số hóa, không ghép dữ liệu nhập vào SQL.
Trang lỗi không hiển thị stack trace, đường dẫn file hay thông báo cơ sở dữ liệu.

File

Sản phẩm trả phí và file bàn giao lưu trong thư mục không công khai, không nằm dưới đường dẫn file tĩnh, không thể truy cập trực tiếp.
Mọi lượt tải đều kiểm tra trước giấy phép, trạng thái thanh toán của đơn hàng và thời hạn hiệu lực.
Đường dẫn file được chuẩn hóa và kiểm tra để chống tấn công duyệt đường dẫn (path traversal).

Dữ liệu cá nhân

Chỉ thu thập dữ liệu cần thiết để phản hồi và thực hiện dự án.
IP nguồn chỉ lưu giá trị băm không thể khôi phục (dùng để chặn spam), không lưu IP gốc.
Bạn có thể yêu cầu tra cứu, chỉnh sửa hoặc xóa dữ liệu cá nhân của mình, xem Chính sách quyền riêng tư.

Sao lưu

Cơ sở dữ liệu và file tải lên được tự động sao lưu mỗi ngày, giữ 14 ngày; bản sao lưu ngày 1 hằng tháng được giữ thêm 6 tháng.
Quy trình khôi phục đã được thử nghiệm thực tế, không chỉ viết trên giấy.

Phát hiện vấn đề bảo mật? Vui lòng dùng phiếu yêu cầu để báo cho chúng tôi và ghi rõ "Báo cáo bảo mật". Chúng tôi sẽ xử lý sớm nhất có thể và không có hành động pháp lý nào với người báo cáo thiện chí. Vui lòng không kiểm thử phá hoại website này khi chưa được cho phép.