Bảo mật và tuân thủ

Xác thực

Access token là JWT ngắn hạn (15 phút), được xác minh tại gateway API; refresh token tồn tại 30 ngày khi không hoạt động và tối đa 90 ngày, được xoay vòng ở mỗi lần dùng và lưu trong cookie HttpOnly, Secure, SameSite. Dùng lại refresh token đã xoay vòng sẽ thu hồi toàn bộ chuỗi.
Khóa ký được xoay vòng mỗi 90 ngày với thời gian chồng lấp; khóa công khai được công bố tại /.well-known/jwks.json.
Quyền không được nhúng trong token: chúng được đọc ở mỗi yêu cầu, nên thay đổi vai trò có hiệu lực ngay và mọi phiên đều có thể bị thu hồi tập trung.
Xác thực hai yếu tố (TOTP) có thể là tùy chọn, bắt buộc cho Owner và Admin, hoặc bắt buộc cho tất cả. Đăng nhập một lần với Google Workspace và Apple có trong mọi gói. SAML 2.0, passkey và cấp phát người dùng qua SCIM đã được lên kế hoạch và chưa khả dụng.
Khóa API chỉ hiển thị một lần, được lưu dưới dạng hash SHA-256, có scope từ một danh mục đóng, bị giới hạn bởi quyền của chủ sở hữu và có thể thu hồi ngay lập tức. Xem Xác thực.
Đăng nhập bị giới hạn tốc độ theo IP và theo email; mười lần thất bại sẽ khóa tài khoản trong 30 phút; các lần thất bại từ một địa chỉ IP được đếm và ghi lại, nhưng theo mặc định không chặn địa chỉ đó. Mọi lần đăng nhập, thất bại, làm mới, thay đổi quyền và thao tác quản trị đều được ghi vào nhật ký kiểm toán.

Cô lập tenant

Mọi dòng dữ liệu trong mọi dịch vụ đều mang tài khoản sở hữu nó, và mọi truy vấn đều được lọc tự động theo tài khoản đó; muốn tắt bộ lọc phải có một lệnh gọi tường minh nằm trong danh sách cho phép, chỉ dùng cho các thao tác nhân viên xuyên tenant và được kiểm thử bao phủ. Vai trò theo site bổ sung thêm bộ lọc site. Yêu cầu truy cập tài nguyên của tài khoản khác nhận 404, không bao giờ là 403, để không thể dò liệt kê ID. Mọi endpoint ghi dùng danh sách trường được phép nghiêm ngặt. Kiểm thử truy cập xuyên tài khoản là bắt buộc cho mọi endpoint mới.

Header X-Account-Id trên mọi yêu cầu được đối chiếu với token, nên một lỗi ở client hay một token bị phát lại không bao giờ có thể âm thầm đọc dữ liệu của tenant khác.

Mã hóa

TLS 1.2 trở lên đến mọi endpoint công khai, TLS hai chiều giữa các dịch vụ, TLS đến mọi kho dữ liệu, ổ lưu trữ được mã hóa khi lưu, và mã hóa phong bì theo tài khoản cho các trường nhạy cảm. Chứng chỉ công khai được cấp và gia hạn tự động; chứng chỉ nội bộ có thời hạn ngắn.

Khóa bí mật

Mọi khóa bí mật, bao gồm khóa nhà cung cấp BYOK và khóa bí mật webhook của bạn, nằm trong một trình quản lý bí mật chuyên dụng, được mã hóa, giới hạn theo dịch vụ và được kiểm toán. Không có gì nằm trong hệ thống quản lý mã nguồn (được thực thi bằng quét trước mỗi commit) hay trong container image (được kiểm tra trong CI). Theo mặc định, lập trình viên không có quyền truy cập khóa bí mật môi trường production; truy cập khẩn cấp cần hai phê duyệt, có thời hạn ngắn và được ghi vào một kênh không thể tắt tiếng.

Webhook

Lần gửi đi được ký bằng HMAC-SHA256 trên dấu thời gian và body thô, mang nonce và ID sự kiện, bị từ chối ngoài cửa sổ năm phút, và được thử lại với độ trễ tăng dần đến hàng đợi dead letter. Khóa bí mật được xoay vòng với cửa sổ chồng lấp và có thể thu hồi ngay lập tức. Webhook đến từ nhà cung cấp được xác minh theo cơ chế của từng nhà cung cấp trước khi xử lý bất cứ thứ gì. Chi tiết: Webhook.

Giới hạn tốc độ

Bốn lớp: bảo vệ DDoS và bot tại mạng biên, giới hạn theo IP tại reverse proxy, token bucket theo tài khoản và theo danh tính tại gateway API, và giới hạn nghiệp vụ bên trong các dịch vụ. Các giới hạn có trong tổng quan API.

Kiểm toán

Mọi thay đổi được ghi vào nhật ký kiểm toán chỉ ghi thêm, liên kết bằng chuỗi hash, với hai lớp lưu giữ: sự kiện chung và sự kiện tuân thủ (yêu cầu của chủ thể dữ liệu, vi phạm dữ liệu, bên xử lý phụ và hồ sơ KYC). Lớp được gán khi ghi mục nhật ký; không ai có thể sửa hoặc xóa nhật ký, và việc dọn dẹp tự động theo lớp hiện chưa hoạt động. Owner và Admin có thể lọc và xuất nhật ký. Mật khẩu, token và khóa không bao giờ được ghi log; lớp ghi log che các khóa đã biết là nhạy cảm.

Bảo vệ dữ liệu

Yêu cầu của chủ thể dữ liệu theo GDPR, UK GDPR, CCPA và LGPD (truy cập, xuất, xóa) được tiếp nhận và theo dõi trong bảng điều khiển tuân thủ với hạn chót. Việc xóa do nhân viên RolChat thực hiện, và yêu cầu chỉ được đóng khi họ xác nhận; việc xóa tự động trên mọi module hiện chưa khả dụng.
Vị trí dữ liệu: dữ liệu được lưu trữ tại EU. Khu vực không được chọn theo quốc gia khi đăng ký; cài đặt khu vực trong cài đặt tài khoản chỉ được ghi lại và chưa di chuyển dữ liệu.
Lưu giữ theo gói: 1, 2 hoặc 3 năm. Xóa một cuộc hội thoại hoặc một liên hệ chỉ ẩn nó đến hết thời hạn đó; xóa tài khoản là một yêu cầu có 30 ngày để hủy, sau đó nhân viên sẽ xóa dữ liệu; tài khoản chưa thanh toán được giữ 90 ngày rồi bị xóa. Việc dọn dẹp tự động để thực thi các thời hạn này đang được triển khai.
Thỏa thuận xử lý dữ liệu, danh sách bên xử lý phụ, chính sách quyền riêng tư và chính sách cookie được công bố trên rolchat.com; DPA được chấp nhận khi đăng ký.
Thông báo vi phạm dữ liệu trong vòng 72 giờ theo yêu cầu của Điều 33 GDPR.

Quản lý lỗ hổng

Các phụ thuộc được giám sát liên tục; lock file được commit; base image được ghim theo digest; action CI được ghim theo commit. Kiểm thử xâm nhập do bên thứ ba thực hiện được lên lịch hằng năm kể từ giai đoạn beta, bao gồm API, widget và các trang công khai, cùng một kịch bản nội bộ giả định đã bị xâm nhập. Chương trình bug bounty riêng sẽ có khi sản phẩm ra mắt chính thức. Báo cáo vấn đề bảo mật tới security@rolchat.com.

Tính sẵn sàng

Nền tảng chạy trên nhiều node với chuyển đổi dự phòng tự động cho các dịch vụ không trạng thái và sao chép được quản lý cho cơ sở dữ liệu. Mục tiêu về tính sẵn sàng theo gói được nêu trong hợp đồng của bạn.

Ứng phó sự cố

Runbook cho mọi dịch vụ, lịch trực luân phiên, hệ thống nhắn báo bên ngoài vẫn hoạt động khi hạ tầng của chúng tôi gặp sự cố, và nghĩa vụ thông báo cho khách hàng được tích hợp vào quy trình.