Bảo mật tại ContentVelo

Kết nối tới máy chủ của chúng tôi

Mọi yêu cầu tới ứng dụng ContentVelo đều được phục vụ qua HTTPS. Các yêu cầu đến bằng HTTP thường sẽ được chuyển hướng, và trên môi trường thật máy chủ của chúng tôi gửi tiêu đề HTTP Strict Transport Security để trình duyệt của bạn không quay lại HTTP thường. Phiên bản TLS và bộ mã hoá thực tế được cung cấp là đặc tính của dịch vụ lưu trữ chứ không phải của ứng dụng, nên chúng tôi không nêu ở đây một phiên bản mà mình không thể bảo đảm.

Các yêu cầu làm thay đổi dữ liệu trong tài khoản của bạn đều mang một token chống giả mạo, nên trang web khác không thể khiến trình duyệt của bạn thao tác trên tài khoản mà bạn không hay biết.

Tài khoản và đăng nhập

Bạn đăng nhập bằng địa chỉ email và mật khẩu, hoặc bằng tài khoản mạng xã hội đã liên kết. Khi đăng nhập thành công, hệ thống cấp một cookie phiên mà trình duyệt không để lộ cho tập lệnh và không gửi sang trang khác.

• Phiên đăng nhập của cổng khách hàng kéo dài bảy ngày và được gia hạn mỗi lần bạn sử dụng.
• Phiên quản trị kéo dài tám giờ và do một ứng dụng riêng có trang đăng nhập riêng cấp.
• Địa chỉ email mới được xác nhận bằng liên kết gửi tới chính địa chỉ đó. Việc đặt lại mật khẩu dùng token chỉ dùng một lần và có hạn sử dụng.
• Hiện ContentVelo chưa có xác thực hai yếu tố. Mật khẩu của bạn, hoặc tài khoản mạng xã hội bạn dùng để đăng nhập, là thứ duy nhất bảo vệ tài khoản.

Mật khẩu của bạn được lưu thế nào

Chúng tôi không lưu mật khẩu của bạn, mà lưu giá trị băm SHA-256 của nó. Không ai ở ContentVelo có thể đọc ngược mật khẩu từ giá trị băm đó, và chúng tôi sẽ không bao giờ hỏi mật khẩu của bạn.

Chúng tôi nói rõ cách giá trị băm đó được tính, vì cách làm này thấp hơn thông lệ hiện nay và bạn có quyền biết trước khi chọn mật khẩu. Hệ thống thêm cùng một giá trị cố định vào mọi mật khẩu thay vì một giá trị ngẫu nhiên riêng cho từng tài khoản, và chỉ băm một lần, không có độ trễ cố ý. Các hàm băm mật khẩu hiện đại như bcrypt, scrypt hay Argon2 không làm cả hai điều đó, và việc chuyển sang một trong số chúng nằm trong danh sách công việc của chúng tôi.

Trên thực tế, điều này có nghĩa là: nếu bảng mật khẩu của chúng tôi bị lộ, những mật khẩu phổ biến hoặc dùng lại ở nơi khác sẽ bị khôi phục rất nhanh. Hãy dùng một mật khẩu bạn không dùng ở bất kỳ đâu khác, và nên đặt thật dài.

Trang Facebook và mã truy cập

Khi bạn kết nối một Trang Facebook, Meta cấp cho ContentVelo một mã truy cập. Chúng tôi lưu mã đó trong cơ sở dữ liệu để bài đăng đã hẹn giờ vẫn được xuất bản khi bạn không có mặt. Mã được lưu ở dạng đọc được: ứng dụng không mã hoá nó, nên mức bảo vệ của mã chính là mức bảo vệ của cơ sở dữ liệu và máy chủ đang chạy hệ thống.

Mã này cho phép chúng tôi đọc các bài đăng của chính Trang đó cùng số liệu tương tác, và đăng bài lên Trang. Nó không cho phép chúng tôi truy cập hồ sơ Facebook cá nhân của bạn, danh sách bạn bè, hay bất kỳ Trang nào bạn chưa kết nối.

Việc ngắt kết nối một Trang trong ContentVelo sẽ xoá bản sao mã truy cập mà chúng tôi giữ. Nó không thu hồi quyền bạn đã cấp tại Meta — việc đó được thực hiện trong phần cài đặt Facebook, mục Tích hợp doanh nghiệp. Trang xoá dữ liệu giải thích cả hai bước. Xoá dữ liệu của bạn

Thanh toán

Thông tin thẻ không bao giờ đến ContentVelo. Việc thanh toán diễn ra trên trang do đơn vị cổng thanh toán của chúng tôi lưu trữ, và chúng tôi chỉ nhận kết quả: số tiền, đơn vị tiền tệ, trạng thái, tên phương thức thanh toán và các mã tham chiếu của đơn vị đó, được lưu để hiển thị lịch sử thanh toán cho bạn. Chúng tôi gửi cho đơn vị đó địa chỉ email, số tiền cần thu, một mã tham chiếu đơn hàng và mô tả ngắn về gói bạn mua — đúng những gì họ cần để lập giao dịch. Chúng tôi không gửi tên của bạn: biểu mẫu mà sản phẩm gửi đi không có trường nào cho tên.

Những bên khác xử lý dữ liệu của bạn

Để cung cấp ContentVelo, chúng tôi phải gửi một phần dữ liệu của bạn tới các công ty khác. Dưới đây là những bên mà sản phẩm thực sự gọi đến:

• OpenAI nhận chỉ dẫn dùng để viết bài đăng. Chỉ dẫn đó gồm mô tả doanh nghiệp của bạn, thiết lập giọng điệu và từ khoá, và nếu bạn đã nhập thì gồm cả số điện thoại, địa chỉ email, LINE ID, website và liên kết cửa hàng mà bạn muốn xuất hiện trong bài. Khi bạn yêu cầu chúng tôi học phong cách của một Trang, tối đa hai mươi bài đăng sẵn có của Trang đó cũng được gửi kèm.
• Google nhận chỉ dẫn dùng để vẽ hình ảnh, thông qua Gemini API.
• Đơn vị cổng thanh toán nhận địa chỉ email, số tiền và một mã tham chiếu đơn hàng của bạn, và thực hiện thu tiền. Đơn vị đó không nhận tên của bạn.
• Nhà cung cấp lưu trữ hình ảnh của chúng tôi nhận và lưu giữ các hình ảnh được tạo cho bạn và hình ảnh bạn tải lên. Các tệp đó được phục vụ từ một địa chỉ web công khai, khó đoán nhưng cũng không có kiểm soát truy cập.
• Nhà cung cấp dịch vụ gửi thư của chúng tôi nhận địa chỉ email và nội dung thư mỗi khi chúng tôi gửi cho bạn liên kết xác minh, đặt lại mật khẩu hoặc thông báo.

Chính sách cookie

Những gì chúng tôi ghi lại về việc bạn sử dụng

Các thao tác trong tài khoản của bạn được ghi vào nhật ký kiểm toán kèm thời điểm, hành động, người dùng và không gian làm việc của bạn, địa chỉ IP và chuỗi user-agent của trình duyệt. Mỗi yêu cầu tạo nội dung được ghi vào nhật ký sử dụng kèm chỉ dẫn đã gửi, văn bản và hình ảnh tạo ra, mô hình đã dùng, chi phí, kết quả thành công hay không, và địa chỉ IP gửi yêu cầu. Các bản ghi này tồn tại để giải thích hoá đơn và điều tra lạm dụng. Chúng được giữ suốt thời gian tài khoản còn tồn tại: hiện ContentVelo chưa có tác vụ nào xoá các bản ghi nhật ký cũ.

Những điều chúng tôi không tuyên bố

Một trang bảo mật chỉ hữu ích khi những gì còn thiếu được nêu rõ như những gì đã có. Tính đến ngày ghi ở trên, ContentVelo chưa có:

• chứng nhận hoặc kiểm toán bảo mật độc lập dưới bất kỳ hình thức nào;
• mã hoá dữ liệu lưu trữ ở tầng ứng dụng — mức bảo vệ hiện có là do máy chủ cơ sở dữ liệu và dịch vụ lưu trữ cung cấp, không phải do mã nguồn của ContentVelo;
• xác thực hai yếu tố cho tài khoản khách hàng hoặc tài khoản quản trị;
• kiểm thử xâm nhập do bên thứ ba thực hiện, hoặc chương trình thưởng lỗi bảo mật được công bố.

Nếu ở nơi khác trên trang web này có câu chữ mô tả bảo mật của chúng tôi mạnh hơn trang này, thì trang này mới là mô tả hiện hành và chính xác.

Báo cáo sự cố bảo mật

Nếu bạn cho rằng mình đã phát hiện một lỗ hổng trong ContentVelo, hãy viết thư cho chúng tôi kèm đủ chi tiết để tái hiện. Chúng tôi sẽ xác nhận đã nhận được thư. Chúng tôi không có phần thưởng, và mong bạn dành cho chúng tôi khoảng thời gian hợp lý để khắc phục trước khi công bố.