Chúng tôi coi bảo mật là một yêu cầu để phát hành, chứ không phải một danh sách kiểm tra. Trang này mô tả các biện pháp kiểm soát hiện đang áp dụng và cách liên hệ với chúng tôi nếu có điều gì đó bất thường.
Dữ liệu đang truyền
- Bắt buộc sử dụng TLS 1.2+ tại lớp biên cho cả
api.kunavo.comvàkunavo.com. - HSTS được bật với max-age là 12 tháng.
- Các callback OAuth chỉ được phép sử dụng các redirect URI đã được xác minh; token của liên kết đăng nhập chỉ dùng một lần và có thời hạn hiệu lực ngắn.
Dữ liệu ở trạng thái nghỉ
- Dữ liệu tài khoản, thanh toán và mức sử dụng được lưu trong Fly Postgres tại một vùng chính duy nhất, với các bản chụp nhanh ổ lưu trữ được mã hóa hằng ngày.
- Khóa API được lưu dưới dạng giá trị băm một chiều; khóa ở dạng văn bản thuần chỉ được hiển thị khi tạo.
- Các tệp người dùng tải lên được phục vụ từ một bucket trung lập, chuyên dụng, sử dụng thông tin xác thực chỉ có quyền truy cập bucket đó.
Kiểm soát truy cập
- Nguyên tắc đặc quyền tối thiểu: quyền truy cập môi trường sản xuất chỉ dành cho một danh sách nhỏ các kỹ sư được ủy quyền.
- Bắt buộc sử dụng xác thực hai yếu tố tại mọi nhà cung cấp hạ tầng.
- Nhật ký kiểm toán được lưu giữ cho các thao tác quản trị trong bảng điều khiển quản trị.
Độ tin cậy
- Cơ chế chuyển đổi dự phòng nóng giữa nhiều nhà cung cấp cho các mô hình thượng nguồn — xem trang chủ và Điều khoản để biết các giới hạn.
- Trang trạng thái tại kunavo.com/status.
- Giám sát TTFB và tỷ lệ ngắt kết nối cho từng dispatcher; các sự cố mà người dùng nhận thấy được phân tích sau sự cố trong /changelog.
Công bố lỗ hổng có trách nhiệm
Nếu bạn cho rằng mình đã phát hiện một lỗ hổng bảo mật, vui lòng gửi email đến security@kunavo.com kèm các bước tái hiện. Chúng tôi xác nhận đã nhận báo cáo trong vòng 48 giờ và không truy cứu trách nhiệm các nhà nghiên cứu hành động với thiện chí.