សុវត្ថិភាព និងទិន្នន័យរបស់អ្នក
របៀបដែល TimTim.Live រក្សាដៃគូ អ្នកទិញ និងទិន្នន័យរបស់ពួកគេឱ្យមានសុវត្ថិភាព។ អ្វីៗទាំងអស់នៅលើទំព័រនេះគឺជារបៀបដែលវាដំណើរការនៅថ្ងៃនេះ។
សោ និងការចូលគណនី
- យើងបង្ហាញសោសម្ងាត់តែម្ដងគត់។ យើងរក្សាទុកតែច្បាប់ចម្លងដែលបានលាយបញ្ចូលគ្នា (SHA-256 hash) ដូច្នេះសូម្បីតែយើងក៏មិនអាចអានវាបានដែរ។
- សោសាកល្បង និងសោពិតគឺដាច់ដោយឡែកពីគ្នា។ សោសាកល្បងឃើញតែព្រឹត្តិការណ៍គំរូ ហើយមិនដែលប៉ះលុយពិតទេ។
- សោគេហទំព័រដំណើរការតែលើគេហទំព័រដែលអ្នកបានរាយសម្រាប់វាប៉ុណ្ណោះ។
- អ្នកចូលគណនីដោយប្រើតំណប្រើតែម្ដងដែលផ្ញើទៅអ៊ីមែលរបស់អ្នក។ គ្មានពាក្យសម្ងាត់ដៃគូសម្រាប់ឱ្យគេលួចទេ។
- មនុស្សម្នាក់ៗក្នុងក្រុមរបស់អ្នកមានការចូលគណនីផ្ទាល់ខ្លួន និងមានសិទ្ធិតែតាមការងាររបស់គេត្រូវការប៉ុណ្ណោះ។
សោការពារបន្ថែមសម្រាប់ដៃគូធំៗ
- OAuth 2.0៖ ប្តូរ client ID និង secret របស់អ្នក ដើម្បីទទួលបាន token ដែលប្រើបានមួយម៉ោង។
- ចាក់សោតាមអាសយដ្ឋានម៉ាស៊ីនមេ៖ key មួយប្រើបានតែពីម៉ាស៊ីនមេដែលអ្នកបានរាយឈ្មោះប៉ុណ្ណោះ។
- ចាក់សោតាមវិញ្ញាបនបត្រ (mTLS) នៅលើ api.timtim.live៖ key មួយប្រើបានតែជាមួយវិញ្ញាបនបត្រ TLS ផ្ទាល់ខ្លួនរបស់អ្នកប៉ុណ្ណោះ។
ទិន្នន័យពេលកំពុងបញ្ជូន
- គ្រប់អាសយដ្ឋាន TimTim.Live ទាំងអស់ប្រើ HTTPS។ កម្មវិធីរុករកត្រូវបានប្រាប់កុំឱ្យប្រើ HTTP ធម្មតាជាមួយយើងឡើយ។
សារដែលយើងផ្ញើទៅអ្នក
- webhook នីមួយៗត្រូវបានចុះហត្ថលេខាដោយ HMAC-SHA256 និងពេលវេលាដែលវាត្រូវបានផ្ញើ។ សូមបដិសេធអ្វីដែលចាស់ជាងប្រាំនាទី។
- secret webhook របស់អ្នកត្រូវបានរក្សាទុកដោយអ៊ិនគ្រីប (AES-256-GCM)។
- យើងមិនដែលផ្ញើសារទៅអាសយដ្ឋានបណ្តាញឯកជន ឬបណ្តាញផ្ទៃក្នុងឡើយ ហើយយើងមិនដែលធ្វើតាមការបញ្ជូនបន្តឡើយ។
អ្នកទិញ និងការបង់ប្រាក់
- យើងមិនដែលផ្តល់ឈ្មោះ អ៊ីមែល អាសយដ្ឋាន លេខទូរសព្ទ ឬព័ត៌មានកាតរបស់អ្នកទិញ ទៅដៃគូឡើយ។
- ការបង់ប្រាក់តាមកាតធ្វើឡើងនៅលើទំព័របង់ប្រាក់សុវត្ថិភាពផ្ទាល់របស់ Stripe។ លេខកាតមិនដែលទៅដល់ម៉ាស៊ីនមេរបស់ TimTim.Live ឡើយ។
- តំណទិញត្រូវបានចុះហត្ថលេខា ដូច្នេះគ្មាននរណាអាចក្លែងតំណ ដើម្បីយកការទទួលស្គាល់របស់អ្នកបានឡើយ។
កន្លែងរក្សាទុកទិន្នន័យ
- ម៉ាស៊ីនមេចម្បងរបស់យើងស្ថិតនៅប្រទេសបារាំង នៅ Lauterbourg (Contabo)។
- សេវាទាំងនេះគ្រប់គ្រងទិន្នន័យជំនួសយើង៖ Stripe (ការបង់ប្រាក់), Cloudflare (ការការពារបណ្តាញ), Contabo (ម៉ាស៊ីនមេ), Oracle Cloud (ម៉ាស៊ីនមេបម្រុង) និង Resend (អ៊ីមែល)។
រយៈពេលដែលយើងរក្សាទុក
- ប្រវត្តិការបញ្ជូន webhook៖ ៣០ ថ្ងៃ។
- token OAuth ដែលផុតកំណត់៖ មួយថ្ងៃ បន្ទាប់មកលុបចោល។
- ការពិនិត្យស្ថានភាព៖ ៩០ ថ្ងៃ។
- ការប្រើ API ត្រូវបានរាប់ជារៀងរាល់ថ្ងៃ។ យើងមិនដែលរក្សាទុក key របស់អ្នក ឬអ្វីដែលអ្នកផ្ញើ នៅក្នុងការរាប់ទាំងនោះឡើយ។
ការតាមដានបញ្ហា
- យើងពិនិត្យគ្រប់ផ្នែកសាធារណៈរៀងរាល់នាទីពីអ៊ីនធឺណិត។ អ្នកអាចមើលលទ្ធផលនៅលើទំព័រស្ថានភាពរបស់យើង។
- ក្រុមរបស់យើងទទួលបានការជូនដំណឹង ប្រសិនបើគេហទំព័រឈប់ឆ្លើយតប។
- ការអនុម័តដៃគូ និងការផ្ញើប្រាក់ ត្រូវការបុគ្គលិកដែលមានឈ្មោះច្បាស់លាស់ និងមានសិទ្ធិនោះ។ គ្មានពាក្យសម្ងាត់រួមសម្រាប់ការងារទាំងនេះឡើយ។
អ្វីដែលយើងមិនទាន់មាន
- យើងមិនទាន់មានរបាយការណ៍ SOC 2 ឬវិញ្ញាបនបត្រ ISO 27001 នៅឡើយទេ។
- មិនទាន់មានក្រុមហ៊ុនខាងក្រៅណាមួយបានសាកល្បងសុវត្ថិភាពរបស់យើងនៅឡើយទេ (ការសាកល្បងជ្រៀតចូល)។
- យើងមិនមានកម្មវិធីបង់រង្វាន់សម្រាប់ការរកឃើញកំហុសឡើយ។
- យើងនឹងធ្វើបច្ចុប្បន្នភាពទំព័រនេះ នៅពេលមានការផ្លាស់ប្តូរណាមួយក្នុងចំណោមនោះ។
ប្រសិនបើមានអ្វីខុសប្រក្រតី
- ប្រសិនបើ key មួយប្រហែលជាត្រូវបានលេចធ្លាយ សូមបិទវានៅលើផ្ទាំងគ្រប់គ្រងរបស់អ្នក។ វានឹងឈប់ដំណើរការភ្លាមៗ។ បន្ទាប់មកបង្កើតមួយថ្មី។
- រកឃើញបញ្ហាសុវត្ថិភាពមែនទេ? សូមផ្ញើអ៊ីមែលទៅ [email protected]។ មនុស្សពិតប្រាកដអានរាល់របាយការណ៍។
- សូមកុំសាកល្បងលើទិន្នន័យរបស់អ្នកដទៃ ហើយសូមផ្តល់ពេលឱ្យយើងជួសជុលបញ្ហា មុនពេលអ្នកចែករំលែកវា។