Bảo mật và công bố lỗ hổng

01Tư thế bảo mật

Bảo mật không phải là một công tắc bật/tắt — đó là một thực hành liên tục xuyên suốt thiết kế, lưu trữ và vận hành. Dưới đây là các biện pháp kiểm soát cốt lõi hiện đã được triển khai trong sản phẩm của chúng tôi.

02Xử lý dữ liệu và thanh toán

Đối với thanh toán, chúng tôi dựa vào các đơn vị xử lý thanh toán bên thứ ba có đủ điều kiện để thực hiện quy trình thu tiền. Bản thân CFJ-LINK không lưu trữ đầy đủ dữ liệu chủ thẻ (như số thẻ PAN đầy đủ hoặc CVV), nhờ đó giảm căn bản phạm vi ảnh hưởng của mọi sự cố rò rỉ dữ liệu thanh toán.

• Cách ly khoá và thông tin xác thực: Khoá dịch vụ và thông tin xác thực API được nạp qua cơ chế quản lý khoá bí mật của nền tảng, không nhúng cứng trong mã phía giao diện, không phát kèm theo trang.
• Không lưu dữ liệu chủ thẻ: Thông tin thẻ thanh toán do các đơn vị xử lý thanh toán chuyên nghiệp đảm nhận; CFJ-LINK không lưu giữ đầy đủ dữ liệu chủ thẻ.
• Bảo vệ khi truyền và khi lưu trữ: Dữ liệu nhạy cảm được mã hoá ở tầng truyền tải; việc lưu trữ được tối thiểu theo nhu cầu, kết hợp kiểm soát truy cập để giới hạn phạm vi đọc.

03Chương trình công bố lỗ hổng có trách nhiệm

Chúng tôi trân trọng đóng góp của cộng đồng nghiên cứu bảo mật. Nếu bạn phát hiện một lỗ hổng có thể ảnh hưởng đến an toàn của người dùng hoặc hệ thống CFJ-LINK, chúng tôi chân thành mời bạn báo cáo có trách nhiệm theo chương trình này, và dành cho chúng tôi khoảng thời gian bảo mật hợp lý để điều tra và khắc phục.

Hiện tại chúng tôi vận hành chương trình theo phương thức cố gắng tối đa (best-effort): tạm thời chưa thiết lập khoản thưởng tiền mặt công khai (bug bounty) và không cam kết mức chi trả cố định. Chúng tôi sẽ bày tỏ lời cảm ơn đối với các báo cáo hợp lệ, lần đầu về lỗ hổng thực sự, và ghi công công khai nếu được bạn đồng ý.

04Phạm vi

05Nguyên tắc Safe Harbor

Miễn là bạn tiến hành nghiên cứu bảo mật một cách thiện chí và tuân theo chương trình công bố này, chúng tôi cam kết không khởi xướng hay ủng hộ bất kỳ hành động pháp lý nào chống lại bạn vì hoạt động nghiên cứu của bạn, và coi báo cáo của bạn là một hành động thiện chí. Để được áp dụng sự bảo vệ này, hoạt động nghiên cứu của bạn phải đáp ứng các điều kiện sau:

• Không phá huỷ, không lấy cắp dữ liệu: Không xoá, sửa đổi, truyền ra ngoài hoặc công khai bất kỳ dữ liệu người dùng nào không thuộc tài khoản của chính bạn; ngay khi xác nhận được lỗ hổng thì phải dừng lại, tránh mở rộng tác động.
• Không gây hại cho khả năng sẵn sàng: Không chạy các kiểm thử có thể dẫn đến gián đoạn dịch vụ, mất dữ liệu hoặc suy giảm chất lượng (như DoS, brute force quy mô lớn).
• Chỉ sử dụng tài khoản của chính bạn: Chỉ kiểm chứng trên tài khoản do bạn sở hữu hoặc tài khoản thử nghiệm mà bạn được cho phép rõ ràng; tôn trọng quyền riêng tư của người khác.
• Dành khoảng thời gian khắc phục hợp lý: Không công khai chi tiết lỗ hổng trước khi chúng tôi xác nhận và khắc phục ở mức hợp lý; thống nhất lịch công bố với chúng tôi.

06Quy trình báo cáo và phản hồi

07Hạng mục tuân thủ đang triển khai (trình bày trung thực)

Để tránh gây hiểu nhầm, phần dưới đây phân biệt các hạng mục «hiện đã được triển khai trong sản phẩm» với các hạng mục «đang thực hiện, chưa hoàn tất». Chúng tôi không tuyên bố rằng bất kỳ chứng nhận hoặc chính sách bắt buộc nào chưa hoàn tất đã có hiệu lực.

Nội dung trang này sẽ được cập nhật cùng quá trình phát triển của sản phẩm. Khi một hạng mục đang triển khai hoàn tất, chúng tôi sẽ cập nhật trạng thái của hạng mục đó thành «Đang cung cấp».

08Liên hệ đội ngũ bảo mật