ContentVelo의 보안

당사 서버로의 연결

ContentVelo 애플리케이션에 대한 모든 요청은 HTTPS로 제공됩니다. 일반 HTTP로 들어온 요청은 리디렉션되며, 운영 환경에서는 서버가 HTTP Strict Transport Security 헤더를 보내 이후 브라우저가 일반 HTTP로 되돌아가지 않도록 합니다. 실제로 제공되는 TLS 버전과 암호 스위트는 애플리케이션이 아니라 호스팅의 속성이므로, 보장할 수 없는 버전을 여기에 적지 않습니다.

계정의 내용을 변경하는 요청에는 위조 방지 토큰이 포함됩니다. 따라서 다른 웹사이트가 사용자가 모르는 사이에 브라우저를 통해 계정을 조작할 수 없습니다.

계정 및 로그인

이메일 주소와 비밀번호 또는 연결된 소셜 계정으로 로그인합니다. 로그인에 성공하면 세션 쿠키가 발급되며, 이 쿠키는 브라우저가 스크립트에 노출하지 않고 다른 사이트로 전송하지도 않습니다.

• 고객 포털 세션은 7일간 유지되며, 사용할 때마다 연장됩니다.
• 관리자 세션은 8시간 유지되며, 자체 로그인을 갖춘 별도의 애플리케이션에서 발급됩니다.
• 새 이메일 주소는 해당 주소로 발송된 링크로 확인합니다. 비밀번호 재설정에는 만료 시간이 있는 일회용 토큰을 사용합니다.
• ContentVelo는 현재 2단계 인증을 제공하지 않습니다. 비밀번호 또는 로그인에 사용한 소셜 계정이 계정을 지키는 유일한 수단입니다.

비밀번호 저장 방식

당사는 비밀번호 자체를 저장하지 않고 그 SHA-256 해시를 저장합니다. ContentVelo의 누구도 해시에서 비밀번호를 되돌려 읽을 수 없으며, 당사가 비밀번호를 묻는 일도 없습니다.

그 해시가 어떻게 계산되는지 있는 그대로 밝힙니다. 현재의 모범 사례에 미치지 못하는 방식이며, 비밀번호를 정하기 전에 알 권리가 있기 때문입니다. 계정마다 다른 무작위 값이 아니라 모든 비밀번호에 동일한 고정값을 덧붙이고, 해시는 의도적인 지연 없이 한 번만 계산됩니다. bcrypt, scrypt, Argon2 같은 현대적 비밀번호 해시 함수는 두 가지 모두 하지 않으며, 이러한 함수로의 전환은 당사의 작업 목록에 있습니다.

실질적인 의미는 이렇습니다. 만약 비밀번호 테이블이 유출된다면, 흔한 비밀번호나 다른 곳과 겹치는 비밀번호는 빠르게 복원될 수 있습니다. 다른 곳에서 쓰지 않는 비밀번호를, 가급적 길게 설정해 주세요.

Facebook 페이지와 액세스 토큰

Facebook 페이지를 연결하면 Meta가 발급한 액세스 토큰이 ContentVelo에 전달됩니다. 사용자가 접속해 있지 않을 때에도 예약 게시물을 발행할 수 있도록 당사는 이 토큰을 데이터베이스에 저장합니다. 토큰은 읽을 수 있는 형태로 저장되며 애플리케이션이 암호화하지 않습니다. 따라서 토큰의 보호 수준은 데이터베이스와 그것이 동작하는 서버의 보호 수준과 같습니다.

이 토큰으로 당사는 해당 페이지의 게시물과 참여 지표를 읽고, 그 페이지에 게시할 수 있습니다. 개인 Facebook 프로필, 친구 목록, 연결하지 않은 페이지에 대한 접근 권한은 포함되지 않습니다.

ContentVelo에서 페이지 연결을 해제하면 당사가 보관하던 토큰 사본은 삭제됩니다. 다만 Meta에 부여한 권한까지 철회되지는 않습니다. 그것은 Facebook 설정의 비즈니스 통합에서 처리합니다. 데이터 삭제 페이지에 두 단계가 모두 설명되어 있습니다. 내 데이터 삭제

결제

카드 정보는 ContentVelo에 전달되지 않습니다. 결제는 결제대행사가 호스팅하는 페이지에서 이루어지며, 당사는 결과만 받습니다. 금액, 통화, 상태, 결제 수단 이름, 대행사의 참조 번호이며 청구 내역을 보여 드리기 위해 보관합니다. 당사가 대행사에 전송하는 것은 이메일 주소, 청구 금액, 주문 참조 번호, 구매하는 요금제의 짧은 설명이며, 결제를 생성하는 데 필요한 것이 전부입니다. 이름은 전송하지 않습니다. 전송하는 양식에 이름 항목 자체가 없습니다.

그 밖에 데이터를 처리하는 곳

ContentVelo를 제공하려면 데이터의 일부를 다른 회사에 전송해야 합니다. 제품이 실제로 호출하는 곳은 다음과 같습니다.

• OpenAI는 게시물을 작성하는 데 쓰이는 지시문을 받습니다. 이 지시문에는 사업 설명, 어조와 키워드 설정, 그리고 입력해 두었다면 게시물에 넣고 싶은 전화번호, 이메일 주소, LINE ID, 웹사이트, 쇼핑몰 링크가 포함됩니다. 페이지의 문체를 학습시키도록 요청하면 해당 페이지의 기존 게시물이 최대 20건까지 함께 전송됩니다.
• Google은 Gemini API를 통해 이미지를 생성하는 데 쓰이는 지시문을 받습니다.
• 결제대행사는 이메일 주소, 금액, 주문 참조 번호를 받아 결제를 처리합니다. 이름은 받지 않습니다.
• 이미지 저장소 제공업체는 사용자를 위해 생성된 이미지와 업로드한 이미지를 받아 보관합니다. 해당 파일은 추측하기 어렵지만 접근 제어는 없는 공개 웹 주소에서 제공됩니다.
• 확인 링크, 비밀번호 재설정, 알림을 보낼 때마다 발신 메일 제공업체가 이메일 주소와 메시지 본문을 받습니다.

쿠키 정책

이용 내역으로 기록하는 것

계정에서 수행한 작업은 시각, 동작, 사용자와 워크스페이스, IP 주소, 브라우저의 user-agent 문자열과 함께 감사 로그에 기록됩니다. 모든 생성 요청은 전송한 지시문, 생성된 텍스트와 이미지, 사용 모델, 비용, 성공 여부, 요청이 들어온 IP 주소와 함께 사용 로그에 기록됩니다. 이 기록은 청구 내역을 설명하고 오남용을 조사하기 위해 존재합니다. 계정이 존재하는 동안 보관되며, 현재 ContentVelo에는 오래된 로그를 삭제하는 작업이 없습니다.

당사가 주장하지 않는 것

보안 페이지는 갖춘 것만큼 갖추지 못한 것도 분명히 밝혀야 쓸모가 있습니다. 위 날짜 기준으로 ContentVelo에는 다음이 없습니다.

• 어떤 형태의 독립적인 보안 인증이나 감사
• 애플리케이션 수준의 저장 데이터 암호화. 존재하는 보호는 데이터베이스 서버와 호스팅이 제공하는 것이며 ContentVelo의 코드가 제공하는 것이 아닙니다.
• 고객 계정 또는 관리자 계정을 위한 2단계 인증
• 제3자가 수행한 침투 테스트 또는 공개된 버그 바운티 프로그램

이 사이트의 다른 곳에서 당사의 보안을 이 페이지보다 강한 표현으로 설명하는 문구가 있다면, 이 페이지의 설명이 최신이며 정확한 것입니다.

보안 문제 신고

ContentVelo에서 취약점을 발견하셨다고 생각되면 재현이 가능한 정도의 상세한 내용과 함께 연락해 주십시오. 접수 사실을 회신드립니다. 포상금 제도는 없으며, 공개하시기 전에 수정할 수 있는 합리적인 시간을 주시기를 요청드립니다.