Bảo mật và dữ liệu của bạn

Cách TimTim.Live giữ an toàn cho đối tác, người mua và dữ liệu của họ. Mọi thứ trên trang này là cách hệ thống hoạt động hôm nay.

Khóa và đăng nhập

Chúng tôi chỉ hiện khóa bí mật một lần. Chúng tôi chỉ giữ một bản sao đã bị xáo trộn (một mã băm SHA-256), nên ngay cả chúng tôi cũng không đọc được.
Khóa thử và khóa thật được tách riêng. Khóa thử chỉ thấy sự kiện mẫu và không bao giờ chạm vào tiền thật.
Khóa trang web chỉ hoạt động trên những trang web bạn ghi cho nó.
Bạn đăng nhập bằng một đường link dùng một lần gửi đến email của bạn. Không có mật khẩu đối tác nào để bị đánh cắp.
Mỗi người trong đội của bạn có tài khoản đăng nhập riêng và chỉ có quyền truy cập mà công việc của họ cần.

OAuth 2.0: đổi client ID và mã bí mật của bạn lấy một token dùng được một giờ.
Khóa theo địa chỉ máy chủ: một khóa chỉ hoạt động từ những máy chủ bạn ghi.
Khóa theo chứng chỉ (mTLS) trên api.timtim.live: một khóa chỉ hoạt động với chứng chỉ TLS của chính bạn.

Mọi địa chỉ của TimTim.Live đều dùng HTTPS. Trình duyệt được dặn không bao giờ dùng HTTP thường với chúng tôi.

Mỗi webhook được ký bằng HMAC-SHA256 kèm thời gian gửi. Hãy từ chối mọi thứ cũ hơn năm phút.
Mã bí mật webhook của bạn được lưu ở dạng mã hóa (AES-256-GCM).
Chúng tôi không bao giờ gửi tin nhắn đến địa chỉ mạng riêng hoặc mạng nội bộ, và không bao giờ đi theo chuyển hướng.

Chúng tôi không bao giờ đưa cho đối tác tên, email, địa chỉ, số điện thoại hay thông tin thẻ của người mua.
Thanh toán bằng thẻ diễn ra trên trang thanh toán an toàn riêng của Stripe. Số thẻ không bao giờ đến máy chủ của TimTim.Live.
Đường link mua hàng được ký, nên không ai có thể làm giả link để lấy công của bạn.

Máy chủ của chúng tôi ở Hoa Kỳ, tại Ashburn, Virginia (Oracle Cloud).
Các dịch vụ này xử lý dữ liệu cho chúng tôi: Stripe (thanh toán), Cloudflare (bảo vệ mạng), Oracle Cloud (máy chủ) và Resend (email).

Lịch sử gửi webhook: 30 ngày.
Token OAuth đã kết thúc: một ngày, rồi bị xóa.
Kiểm tra trạng thái: 90 ngày.
Lượt dùng API được đếm theo ngày. Chúng tôi không bao giờ lưu khóa của bạn hay những gì bạn gửi trong các con số đó.

Chúng tôi kiểm tra mọi phần công khai mỗi phút từ internet. Bạn có thể xem kết quả trên trang trạng thái của chúng tôi.
Đội của chúng tôi nhận cảnh báo nếu trang web ngừng trả lời.
Duyệt đối tác và gửi tiền cần một nhân viên có tên cụ thể và có quyền đó. Không có mật khẩu dùng chung cho việc này.

Chúng tôi chưa có báo cáo SOC 2 hay chứng chỉ ISO 27001.
Chưa có công ty bên ngoài nào kiểm tra bảo mật của chúng tôi (kiểm thử xâm nhập).
Chúng tôi không có chương trình trả tiền thưởng cho người tìm ra lỗi (bug bounty).
Chúng tôi sẽ cập nhật trang này khi bất kỳ điều nào trong đó thay đổi.

Nếu một khóa có thể đã bị lộ, hãy tắt nó trên bảng điều khiển của bạn. Nó ngừng hoạt động ngay. Sau đó tạo một khóa mới.
Tìm thấy vấn đề bảo mật? Gửi email đến [email protected]. Một người thật đọc mọi báo cáo.
Xin đừng thử nghiệm trên dữ liệu của người khác, và cho chúng tôi thời gian sửa vấn đề trước khi bạn chia sẻ nó.