Biện pháp kỹ thuật và tổ chức

Tài liệu này được công bố bằng nhiều ngôn ngữ. Nếu có bất kỳ khác biệt nào giữa các phiên bản ngôn ngữ, phiên bản tiếng Ba Lan có giá trị ràng buộc.

Phiên bản 1.1 · Cập nhật lần cuối: ngày 22 tháng 10 năm 2026

Các biện pháp theo Điều 32 GDPR mà LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland sử dụng để bảo vệ dịch vụ formexposed. Trang này là một phần của Thỏa thuận xử lý dữ liệu dưới dạng Phụ lục 2.

1. Phạm vi và nguyên tắc

Các biện pháp áp dụng cho mọi dữ liệu được dịch vụ xử lý: dữ liệu chúng tôi xử lý thay mặt Khách hàng (được mô tả trong Thỏa thuận xử lý dữ liệu) và dữ liệu mà chính chúng tôi là bên kiểm soát, chẳng hạn tài khoản khách hàng và nhật ký. Không có mức bảo vệ riêng cho hai loại; những gì bảo vệ tài khoản cũng bảo vệ dữ liệu được xử lý thay mặt khách hàng.

Cấu trúc theo Điều 32(1) GDPR. Giả danh hóa và mã hóa (điểm (a)) được trình bày tại phần 4; tính bảo mật, toàn vẹn, khả dụng và khả năng chống chịu liên tục của hệ thống (điểm (b)) tại phần 3, 5, 6 và 7; khả năng khôi phục tính khả dụng kịp thời sau sự cố (điểm (c)) tại phần 7.1; quy trình thường xuyên kiểm thử, đánh giá và thẩm định hiệu quả (điểm (d)) tại phần 9. Chúng tôi lựa chọn các biện pháp dựa trên rủi ro được mô tả trong Đánh giá tác động bảo vệ dữ liệu, có tính đến trình độ kỹ thuật hiện tại và chi phí triển khai.

Nguyên tắc: những gì đã được đo lường thay vì chỉ dự định. Chỉ những gì đã thực sự được triển khai trong mã hoặc trong vận hành mới được nêu tại đây. Những gì được dự kiến nhưng chưa triển khai được liệt kê rõ là “dự kiến” trong phần 10. Một biện pháp không có ở đây không mặc nhiên được coi là đã tồn tại.

Tên máy, địa chỉ nội bộ, cổng, tên người dùng và phiên bản phần mềm được chủ ý không nêu. Chúng không giúp đánh giá các biện pháp nhưng lại giúp người muốn vượt qua chúng. Bất kỳ ai cần những thông tin đó cho kiểm toán theo Thỏa thuận xử lý dữ liệu sẽ nhận được trong quá trình kiểm toán với nghĩa vụ bảo mật, trong phạm vi cần thiết cho kiểm toán.

2. Cấu trúc dịch vụ

Dịch vụ chạy trên hai máy chủ riêng của nhà cung cấp tại Ba Lan, nằm trong cùng mạng nội bộ:

• Máy chủ web cùng cơ sở dữ liệu. Máy chủ cung cấp ứng dụng, lưu cơ sở dữ liệu, gửi thông báo và sao lưu dữ liệu. Chỉ máy chủ này được thiết lập để nhận yêu cầu từ internet.
• Máy chủ quét. Máy chủ thực hiện kiểm tra website của bên thứ ba và website riêng trong trình duyệt, đồng thời chạy mô hình ngôn ngữ để phân loại từng biểu mẫu, tổng hợp các phát hiện quét thành kế hoạch hành động có thứ tự ưu tiên cho tài khoản trả phí và bổ sung mã trong “Fix it for me”. Máy chủ không được thiết lập để nhận yêu cầu từ internet mà tự lấy tác vụ từ máy chủ web và trả kết quả về đó.

Không có nhà cung cấp dịch vụ lưu trữ, trung tâm dữ liệu hoặc đám mây tham gia vận hành, và không có gì được gửi tới dịch vụ AI bên ngoài. Các bên thứ ba nhận dữ liệu được nêu trên trang Bên xử lý phụ.

3. Bảo mật thông tin

3.1 Kiểm soát tiếp cận vật lý

Các máy chủ được đặt trong cơ sở của nhà cung cấp tại Ba Lan, không mở cửa cho công chúng. Chỉ chủ sở hữu có quyền tiếp cận (theo tuyên bố của đơn vị vận hành). Địa chỉ chính xác của địa điểm được chủ ý không nêu tại đây.

3.2 Kiểm soát truy cập: đăng nhập dịch vụ

• Mật khẩu chỉ được lưu dưới dạng giá trị băm bằng phương thức tiêu chuẩn của PHP (bcrypt). Nếu phương thức tiêu chuẩn thay đổi, giá trị băm được làm mới ở lần đăng nhập tiếp theo. Khi có lần thử đăng nhập bằng địa chỉ không tồn tại trong hệ thống, máy chủ vẫn tính giá trị băm để thời gian phản hồi không tiết lộ tài khoản có tồn tại hay không. Tương tự, phản hồi yêu cầu đặt lại mật khẩu không tiết lộ bằng cách diễn đạt hoặc thời lượng liệu tài khoản có tồn tại hay không; e-mail đặt lại được gửi tới cùng địa chỉ tối đa ba lần mỗi giờ. Mật khẩu mới phải dài ít nhất mười ký tự và không vượt quá 72 byte (UTF-8), vì bcrypt không tính đến số byte nhiều hơn. Thay đổi mật khẩu đăng xuất tất cả thiết bị khác; đặt lại qua liên kết đăng xuất tất cả thiết bị, và liên kết chỉ có hiệu lực một lần.
• Khóa sau các lần thử thất bại. Đăng nhập thất bại được đếm theo địa chỉ IP; sau quá nhiều lần trong thời gian ngắn (hiện là tám lần trong 15 phút), đăng nhập từ địa chỉ đó bị chặn tạm thời. Đăng nhập thành công đặt lại bộ đếm này. Các lần thử bị xóa sau bảy ngày. Ngoài ra, trước mỗi lần kiểm tra mật khẩu, một lần thử được đếm theo tài khoản (với địa chỉ không tồn tại, theo địa chỉ được nhập) và theo địa chỉ IP, bao gồm cả lần thử thành công: hiện tối đa tám lần cho mỗi tài khoản từ cùng địa chỉ IP và 80 lần cho mỗi địa chỉ IP trong 15 phút; giới hạn cao hơn đáng kể áp dụng cho mỗi tài khoản trên tất cả địa chỉ cộng lại để chống đoán mật khẩu phân tán. Vì vậy, các lần thử thất bại từ địa chỉ khác không còn khóa chủ sở hữu khỏi tài khoản. Các bộ đếm này chỉ chứa khóa HMAC, không chứa e-mail hoặc địa chỉ IP dạng rõ, và hết hạn cùng khung thời gian. Nếu kho lưu bộ đếm không khả dụng, đăng nhập bị từ chối chứ không được cho qua. Loại giới hạn tương tự áp dụng cho xác nhận mật khẩu trước khi thay đổi mật khẩu hoặc địa chỉ, bật hoặc tắt yếu tố thứ hai, chuyển giao không gian làm việc, xuất dữ liệu và xóa tài khoản (năm lần thử mỗi tài khoản trong 15 phút), đăng ký (mười lần mỗi địa chỉ IP mỗi giờ) và mật khẩu cổng khách hàng (mười lần thử cho mỗi cổng và địa chỉ IP, 50 lần mỗi cổng trong 15 phút).
• Yếu tố thứ hai. Mọi tài khoản có thể bật đăng nhập bằng mã dùng một lần theo RFC 6238 (TOTP). Bí mật cho việc này được lưu mã hóa trong cơ sở dữ liệu; khóa không được lưu trong cơ sở dữ liệu, vì vậy chỉ bản trích xuất cơ sở dữ liệu là không đủ. Mã đã được chấp nhận không có hiệu lực lần thứ hai. Mười mã khôi phục chỉ được lưu dưới dạng giá trị băm. Mã dùng một lần và mã khôi phục được giới hạn mười lần thử mỗi tài khoản trong 15 phút, kể cả trong quá trình thiết lập.
• Khu vực quản trị chỉ truy cập được với yếu tố thứ hai. Khu vực quản trị của đơn vị vận hành chỉ mở cho tài khoản đã bật yếu tố thứ hai. Danh sách kiểm tra thiết lập báo cáo mọi tài khoản quản trị viên chưa có yếu tố thứ hai.
• Phiên truy cập. Cookie phiên không thể bị tập lệnh đọc (HttpOnly), chỉ được gửi qua HTTPS (Secure) và không được gửi cùng các yêu cầu từ website bên thứ ba có thể thay đổi dữ liệu (SameSite=Lax). Khi đăng nhập, ID phiên mới được tạo, khiến ID được cài sẵn trước đó không còn hiệu lực; máy chủ không chấp nhận ID phiên mà chính nó chưa cấp. Mỗi tài khoản thấy các thiết bị đã đăng nhập và có thể đăng xuất riêng từng thiết bị.
• “Duy trì đăng nhập” là tùy chọn và có hiệu lực trong 30 ngày, nhưng không áp dụng cho tài khoản có quyền quản trị; những tài khoản đó luôn đăng nhập bằng mật khẩu và yếu tố thứ hai. Token gồm hai phần; phần dùng để xác minh chỉ được lưu trong cơ sở dữ liệu dưới dạng giá trị băm. Mỗi lần sử dụng thay thế token bằng token mới, và ngay cả với các yêu cầu đồng thời, mỗi token chỉ có hiệu lực một lần, nhờ đó token bị đánh cắp được phát hiện muộn nhất ở lần truy cập thật tiếp theo.
• Liên kết trong e-mail. Liên kết xác nhận địa chỉ và đặt lại mật khẩu chỉ được lưu trong cơ sở dữ liệu dưới dạng giá trị băm. Liên kết đặt lại có hiệu lực một giờ, liên kết xác nhận đăng ký 72 giờ, liên kết xác nhận địa chỉ đã thay đổi 24 giờ. Nếu địa chỉ e-mail được thay đổi, liên kết đặt lại còn hiệu lực trở nên vô hiệu.
• Giao diện. Khóa API, mã kết nối tiện ích và mã triển khai chỉ được lưu dưới dạng giá trị băm. Khóa API chỉ có thể được sử dụng một số lần giới hạn mỗi phút; mã kết nối tiện ích có hiệu lực 15 phút và chỉ một lần.
• Chống bot trên các biểu mẫu công khai (đăng ký, đăng nhập, mật khẩu, kiểm tra, công cụ tiêu đề, từ chối tham gia, hỗ trợ và liên hệ): Google reCAPTCHA, chỉ được tải khi gửi. Chỉ phản hồi hợp lệ từ Google với điểm số đủ cho chính xác hành động của biểu mẫu được chấp nhận; nếu Google không phản hồi trong ba giây, lượt gửi bị từ chối. Chi tiết có trong Chính sách quyền riêng tư.

3.3 Kiểm soát truy cập: quản trị máy chủ

• Máy chủ có thể truy cập từ internet sử dụng bộ lọc gói tin để chỉ cho phép những dịch vụ mình cung cấp và tự động chặn địa chỉ sau nhiều lần đăng nhập quản trị máy chủ thất bại.
• Các quy trình tự động giữa hai máy chủ sử dụng khóa riêng với quyền được giới hạn chặt chẽ. Khóa mà máy chủ web dùng để chuyển phiên bản trình quét mới chỉ có thể thực hiện một danh sách lệnh cố định trên máy chủ quét và chỉ có thể sao chép với quyền chỉ ghi vào thư mục của trình quét; khóa không cho phép đăng nhập tương tác, và mọi lệnh bị từ chối đều được ghi nhật ký. Tương tự, máy chủ quét chỉ có thể ghi ảnh chụp màn hình vào một thư mục cụ thể trên máy chủ web.
• Tiến trình phục vụ website không có quyền ghi vào bản cài đặt sản xuất và cũng không có khóa cho máy chủ quét. Triển khai được kích hoạt trong khu vực quản trị chỉ ghi nhận một tác vụ để một lần chạy riêng thực hiện.
• Bí mật như thông tin đăng nhập cơ sở dữ liệu và khóa được giữ trong tệp cấu hình bên ngoài thư mục được phục vụ và không được sao chép theo khi triển khai. Cấu hình máy chủ web không được phân phối qua giao diện web.

3.4 Kiểm soát quyền: quyền trong dịch vụ

• Vai trò. Mỗi không gian làm việc có vai trò chủ sở hữu, quản trị viên và người chỉ có quyền đọc. Thay đổi, xóa, mời và lưu thông tin đăng nhập dành cho chủ sở hữu và quản trị viên; chỉ chủ sở hữu có thể thay đổi vai trò và xóa thành viên. Lời mời chỉ có hiệu lực khi người gửi vẫn là chủ sở hữu hoặc quản trị viên. Người chỉ có quyền đọc chỉ thấy địa chỉ webhook và kênh trò chuyện được rút gọn còn tên máy chủ, vì chỉ riêng địa chỉ đã cho phép đăng vào kênh. Việc kiểm tra diễn ra trên máy chủ, không chỉ trên giao diện.
• Ràng buộc với không gian làm việc. Tên miền và cài đặt chỉ có thể được truy cập bởi thành viên của không gian làm việc. Với mỗi lần kiểm tra, Dịch vụ tạo báo cáo dưới liên kết ngẫu nhiên không thể đoán; kết quả và ảnh chụp màn hình của lần kiểm tra có thể được truy cập qua liên kết này mà không cần đăng nhập, ảnh chụp màn hình chỉ truy cập được cùng liên kết báo cáo của chúng. Liên kết xuất hiện trong tài khoản và cảnh báo; người chuyển tiếp liên kết cũng chuyển tiếp báo cáo.
• Yêu cầu thay đổi trạng thái cần token bảo mật theo từng phiên (bảo vệ CSRF), được so sánh trong thời gian hằng định.
• “Xem như khách hàng”. Để hỗ trợ, đơn vị vận hành có thể xem ứng dụng như Khách hàng nhìn thấy. Chế độ xem kết thúc sau một giờ, chặn thay đổi mật khẩu, địa chỉ, yếu tố thứ hai, thiết bị, đăng ký gói, xuất và xóa dữ liệu, tạm đóng khu vực quản trị trong thời gian đó và được ghi nhật ký. Kết thúc chế độ này đăng xuất hoàn toàn đơn vị vận hành; chỉ có thể trở lại khu vực quản trị bằng cách đăng nhập lại với mật khẩu và yếu tố thứ hai. Khách hàng có thể thấy lần truy cập trong bản xuất dữ liệu.
• Quản trị. Chỉ một số ít tài khoản được ủy quyền rõ ràng có quyền quản trị; mọi lần quản trị viên đặt lại yếu tố thứ hai đều được ghi nhật ký.

3.5 Kiểm soát phân tách

• Dữ liệu khách hàng được phân tách về mặt logic theo không gian làm việc. Mọi luồng đọc và ghi trong khu vực đã đăng nhập đều mang ràng buộc này; báo cáo còn có thể truy cập qua liên kết của chúng (phần 3.4).
• Phát triển và vận hành chạy trên các bản cài đặt riêng với cơ sở dữ liệu và người dùng cơ sở dữ liệu riêng. Người dùng phát triển không có quyền truy cập cơ sở dữ liệu sản xuất. Dữ liệu khách hàng thật không được sao chép vào môi trường phát triển; tại đó chúng tôi làm việc với dữ liệu mẫu được tạo.
• Đối với mỗi môi trường, trình quét có thông tin đăng nhập riêng với quyền chỉ đối với dữ liệu cần cho các tác vụ của mình. Trình quét không thể đọc tài khoản, thanh toán hoặc nhật ký.
• Các dịch vụ khác của cùng nhà cung cấp cũng chạy trên máy chủ web. Chúng có cơ sở dữ liệu và người dùng cơ sở dữ liệu riêng, không có quyền truy cập dữ liệu của dịch vụ này.

4. Mã hóa, giả danh hóa và giảm thiểu dữ liệu

4.1 Thông tin đăng nhập để quét sau khi đăng nhập

Đối với chức năng này, Khách hàng lưu tên người dùng và mật khẩu của tài khoản thử nghiệm. Đây là dữ liệu nhạy cảm nhất trong dịch vụ nên được bảo vệ khác với mọi dữ liệu khác:

• Khi lưu, máy chủ web mã hóa bằng khóa công khai của máy chủ quét (ECIES: X25519 với khóa dùng một lần cho mỗi bản ghi, HKDF-SHA256, AES-256-GCM). Khóa riêng chỉ tồn tại trên máy chủ quét. Máy chủ web, cơ sở dữ liệu và bản sao lưu chỉ chứa bản mã; tại đó ngay cả chúng tôi cũng không thể đọc.
• Mỗi bản ghi được ràng buộc bằng mật mã với tên miền của nó. Nếu chuyển sang tên miền khác, giải mã thất bại.
• Để quét, bản mã được đính kèm tác vụ. Máy chủ quét giải mã và chỉ chuyển thông tin đăng nhập vào container kiểm tra qua đầu vào tiêu chuẩn, không bao giờ dưới dạng đối số dòng lệnh có thể hiển thị trong danh sách tiến trình. Ngay khi máy chủ quét đọc xong, bản mã bị xóa khỏi tác vụ; một lần chạy dọn mọi phần còn sót lại muộn nhất sau một giờ.
• Thông tin đăng nhập không bao giờ được hiển thị, ghi nhật ký, xuất qua API hoặc đưa vào bản xuất dữ liệu. Giao diện chỉ hiển thị ký tự đầu và độ dài tên người dùng. Việc gỡ bỏ ghi đè bản mã.
• Sau khi đăng nhập, trình quét chỉ đọc: không gửi, không kiểm tra chủ động, không chụp ảnh màn hình, không truy cập trang đăng xuất, xóa hoặc hủy.

4.2 Mã hóa và giá trị băm khác

• Mật khẩu, mã khôi phục, mật khẩu cổng khách hàng, khóa API, mã kết nối và triển khai, token “Duy trì đăng nhập”, ID phiên trong danh sách thiết bị và liên kết xác nhận, đặt lại chỉ được lưu dưới dạng giá trị băm.
• Bí mật cho yếu tố thứ hai được lưu mã hóa (phần 3.2).
• Chúng tôi không tuyên bố mã hóa toàn bộ cơ sở dữ liệu khi lưu trữ. Các giá trị nhạy cảm được bảo vệ riêng như mô tả trên.

4.3 Giảm thiểu dữ liệu ngay từ thiết kế

• Kiểm tra giao thư: Chỉ tiêu đề và tối đa 8 KB đầu tiên của nội dung văn bản được đọc. Chỉ thời điểm, thông tin gán, ID lượt gửi thử khi áp dụng và kết quả kiểm tra tính xác thực (SPF, DKIM, DMARC) được đưa vào cơ sở dữ liệu, không bao giờ đưa nội dung hoặc địa chỉ người gửi đầy đủ vào. Kết quả xác thực của e-mail gần nhất được giữ cùng tên miền và bị ghi đè bởi e-mail tiếp theo; kết quả chứa địa chỉ IP của máy chủ thư giao thư và tên miền e-mail của người gửi. E-mail được xóa khỏi hộp thư sau khi xử lý thành công; nếu truy xuất hoặc xóa thất bại, việc xóa diễn ra ở lần chạy thành công tiếp theo.
• Kiểm tra: Cấu trúc biểu mẫu được lưu cùng tên trường, loại, nhãn, thuộc tính bắt buộc và hiển thị, không có giá trị; trình quét chỉ đọc phần đầu của trường ẩn được điền sẵn (tối đa 24 ký tự) và thuộc tính dữ liệu (tối đa 60 ký tự) trong lúc kiểm tra và không lưu chúng. Ảnh chụp màn hình của kiểm tra đầy đủ không được che nội dung; chỉ kiểm tra trình duyệt che các trường nhập. Địa chỉ người nhận trong biểu mẫu chỉ được lưu dưới dạng tên miền. Lượt gửi thử chủ động chỉ chứa văn bản thử nghiệm được ghi rõ, không có dữ liệu cá nhân.
• Các tiện ích WordPress và TYPO3 chỉ truyền số liệu hằng ngày và đặc điểm như danh mục tiện ích, và đối với tiện ích WordPress được kết nối còn có tên miền của liên kết trong thông điệp bị chặn để bảo vệ cộng đồng (mặc định bật); không có nội dung khác, không có tên, địa chỉ hoặc địa chỉ IP của khách truy cập. Các phép đếm tùy chọn về lỗi biểu mẫu và trường mặc định tắt.
• “Fix it for me”: Mã được dán chỉ được xử lý trong thời gian yêu cầu và không được lưu.
• Huy hiệu: Ảnh huy hiệu trên website khách hàng không đặt cookie và không bắt đầu phiên truy cập.
• Thông báo vận hành tới điện thoại của đơn vị vận hành là văn bản cố định không có biến, nghĩa là không có tên, địa chỉ hoặc nội dung. Thông báo lỗi qua e-mail tới đơn vị vận hành chứa văn bản thô của thông điệp lỗi, không được làm sạch và được cắt còn 400 ký tự; trong từng trường hợp có thể chứa địa chỉ hoặc liên kết.
• Bảo vệ cộng đồng: Giữa các tiện ích của Khách hàng, chỉ tên miền từ liên kết trong thư rác bị chặn được chia sẻ; việc trao đổi mạng IP đã tắt.
• Vị trí: Quốc gia của địa chỉ IP được xác định từ tệp cơ sở dữ liệu cục bộ; không có địa chỉ nào được gửi tới dịch vụ định vị địa lý.

5. Bảo vệ chống lạm dụng trình quét

Trình quét tải các trang bên thứ ba bằng trình duyệt thực. Nếu không có bảo vệ, trình quét sẽ là công cụ cho phép người từ bên ngoài tiếp cận mạng nội bộ của chúng tôi hoặc mục tiêu không công khai khác (giả mạo yêu cầu phía máy chủ). Vì vậy, có hai lớp độc lập và sự cách ly cho từng lần chạy.

5.1 Lần chạy cách ly

• Mỗi lần kiểm tra chạy trong container riêng, được gỡ bỏ sau đó. Container chạy không có quyền quản trị viên, không có năng lực hệ điều hành bổ sung và không có khả năng nâng quyền. Hệ thống tệp ở chế độ chỉ đọc ngoại trừ các vùng nhỏ tạm thời.
• Bộ nhớ, số lượng tiến trình và thời gian chạy bị giới hạn; lần chạy vượt thời gian bị kết thúc.

5.2 Mạng: hai lớp

• Lớp thứ nhất, trong trình quét: Trước khi quét và sau đó với từng yêu cầu riêng lẻ của trình duyệt, bao gồm chuyển hướng và nội dung nhúng, hệ thống kiểm tra địa chỉ được phân giải tới đâu. Mạng riêng, cục bộ, dành riêng và dành cho tài liệu (IPv4 và IPv6) bị từ chối, cũng như các cổng khác ngoài những cổng thông dụng cho web. Trình duyệt không cho phép service worker và các kết nối WebSocket bị đóng vì cả hai có thể vượt qua kiểm tra này.
• Lớp thứ hai, trong mạng: Các container chạy trong mạng riêng của chúng. Quy tắc tường lửa chỉ cho phép kết nối từ đó ra internet trên cổng web; kết nối vào mạng riêng, bao gồm mạng nội bộ của chúng tôi với máy chủ web và cơ sở dữ liệu, bị chặn. Những ngoại lệ mà bản thân lần kiểm tra cần được giới hạn ở mức cần thiết và mô tả trong tài liệu nội bộ. Lớp này cũng có hiệu lực nếu một tên chỉ phân giải khác sau lần kiểm tra đầu tiên.

5.3 Yêu cầu do máy chủ web thực hiện

Khi chính máy chủ web yêu cầu địa chỉ bên thứ ba – để chứng minh quyền kiểm soát tên miền, cho công cụ tiêu đề, tìm tệp bị lộ, yêu cầu kiểm tra nhanh biểu mẫu, truy vấn RDAP và kiểm tra chứng chỉ, cho webhook và cảnh báo trò chuyện và cho điểm kiểm tra thứ hai tùy chọn – áp dụng cùng các quy tắc: chỉ giao thức web trên cổng web thông dụng (webhook và cảnh báo trò chuyện chỉ qua HTTPS trên cổng tiêu chuẩn), chỉ địa chỉ công khai, chỉ kết nối tới đúng địa chỉ đã được kiểm tra trước để tên không thể bị chuyển hướng tới mục tiêu nội bộ sau đó, không theo chuyển hướng hoặc chỉ theo thủ công và kiểm tra lại mỗi lần, giới hạn thời gian ngắn; đối với bằng chứng quyền kiểm soát tên miền, yêu cầu kiểm tra nhanh biểu mẫu và điểm kiểm tra thứ hai trong kiểm tra trình duyệt, còn giới hạn kích thước phản hồi.

5.4 Những gì trình quét không làm trên website bên thứ ba

• Đối với Khách hàng, lượt gửi thử chủ động (tối đa năm lượt mỗi lần kiểm tra) chỉ được thực hiện cho tên miền đã cung cấp bằng chứng quyền kiểm soát (DNS, thẻ meta, tệp hoặc tiện ích); ngoại lệ duy nhất là kiểm tra nội bộ các tên miền thử nghiệm và trình diễn riêng của chúng tôi. Tên máy chủ của tên miền có bằng chứng quyền kiểm soát không thể thay đổi để bằng chứng không chuyển sang máy chủ khác. Mọi hoạt động khác là thụ động: đọc trang như khách truy cập.
• Kiểm tra trình duyệt đi tới ngay trước bước gửi và không kích hoạt bất kỳ đơn hàng, thanh toán hoặc lượt gửi nào.
• Tên miền trong danh sách từ chối tham gia không được kiểm tra; giám sát đang chạy kết thúc ở lần kiểm tra theo lịch tiếp theo.

6. Toàn vẹn: truyền và nhập dữ liệu

6.1 Truyền dữ liệu

• Ứng dụng chỉ có thể được truy cập từ internet qua HTTPS; trình duyệt được chỉ dẫn chỉ sử dụng HTTPS trong một năm (HSTS). Chứng chỉ được gia hạn tự động.
• Các tiêu đề khác hạn chế việc nhúng ứng dụng vào trang bên thứ ba, đoán loại tệp và gửi biểu mẫu tới đích bên thứ ba. Chính sách bảo mật nội dung chỉ cho phép những tập lệnh được máy chủ cho phép trong phản hồi tương ứng chạy trong ứng dụng; trình duyệt hiện hành không thực thi tập lệnh được chèn hoặc trình xử lý sự kiện trong HTML.
• Hộp thư kiểm tra giao thư được truy xuất qua kết nối mã hóa có xác minh chứng chỉ.
• Webhook có thể được ký bằng bí mật của Khách hàng (HMAC-SHA256 kèm dấu thời gian) để người nhận có thể xác minh nguồn gốc và tính toàn vẹn. Yêu cầu tới điểm kiểm tra thứ hai tùy chọn được ký và, đối với kiểm tra trình duyệt, cả phản hồi của chúng cũng được ký.
• Nêu rõ: Các kết nối trong mạng nội bộ của chúng tôi không được mã hóa toàn bộ. Thông tin đăng nhập để quét sau khi đăng nhập vẫn được mã hóa xuyên suốt (phần 4.1).

6.2 Kiểm soát nhập dữ liệu và nhật ký

• Những hành động quan trọng trong tài khoản và không gian làm việc (như đăng nhập, thay đổi tên miền, đích nhận cảnh báo và quyền, xóa, truy cập hỗ trợ) được ghi trong nhật ký hoạt động kèm tài khoản, thời điểm, địa chỉ IP và quốc gia, rồi bị xóa sau 365 ngày.
• Bản ghi truy cập trang được giữ để bảo mật và ngăn chặn lạm dụng bị xóa sau 60 ngày, nhật ký lỗi sau 90 ngày, nội dung e-mail đã gửi sau 30 ngày. Token truy cập trong địa chỉ được yêu cầu và địa chỉ giới thiệu, chẳng hạn token của liên kết báo cáo hoặc cổng khách hàng, chỉ xuất hiện dưới dạng được che trong bản ghi truy cập trang.
• Việc chấp nhận các tài liệu hợp đồng được lưu cùng phiên bản được hiển thị, giá trị tổng kiểm tra, thời điểm, địa chỉ IP và mã nhận diện trình duyệt.
• Nhật ký bằng chứng có thể được cấp dấu thời gian từ tổ chức cấp dấu thời gian bên ngoài; chỉ giá trị tổng kiểm tra của nội dung được gửi tới đó, không phải chính nội dung.

7. Tính khả dụng và khả năng chống chịu

7.1 Sao lưu

• Cơ sở dữ liệu được sao lưu mỗi đêm. Bản sao lưu chỉ nhận tên cuối cùng sau khi nội dung đã được kiểm tra: chương trình sao lưu hoàn tất thành công, có ít nhất một bản ghi, số bảng bằng số bảng trong cơ sở dữ liệu và có dòng kết thúc của lần chạy hoàn chỉnh. Bản sao lưu cũ chỉ được gỡ sau khi tạo bản mới thành công.
• Mỗi bản sao lưu bị xóa sau 14 ngày. Vị trí lưu nằm ngoài mọi thư mục được phục vụ; vị trí bên trong dự án bị từ chối.
• Kiểm thử khôi phục: Mỗi tuần một lần, bản sao lưu mới nhất được nạp vào cơ sở dữ liệu dùng một lần, đối chiếu từng bảng với hệ thống sản xuất rồi xóa đi. Kết quả được lưu.
• Nếu sao lưu hoặc kiểm thử thất bại, thông báo được gửi qua e-mail và tới điện thoại đơn vị vận hành.
• Khôi phục sau sự cố: Nếu cơ sở dữ liệu gặp sự cố hoặc dữ liệu bị hỏng, chúng tôi khôi phục bản sao lưu đã được kiểm thử mới nhất. Những thay đổi kể từ bản sao lưu đó, thông thường tối đa những thay đổi của một ngày, có thể bị mất; nếu sao lưu thất bại, lượng mất có thể nhiều hơn tương ứng. Sau đó chúng tôi thực hiện lại các yêu cầu xóa sau đó mà mình biết (phần 8). Chúng tôi không cam kết thời gian khôi phục cụ thể.
• Giới hạn được nêu rõ: Hiện tại, các bản sao lưu được lưu cùng địa điểm với cơ sở dữ liệu và không được mã hóa riêng. Chúng bảo vệ trước lỗi vận hành, thay đổi sai và dữ liệu hỏng, không bảo vệ trước việc mất chính máy chủ. Bản sao mã hóa tại địa điểm thứ hai đang được dự kiến (phần 10).
• Thông tin đăng nhập để quét sau khi đăng nhập chỉ có trong bản sao lưu dưới dạng bản mã; bí mật yếu tố thứ hai chỉ ở dạng mã hóa, với khóa nằm ngoài cơ sở dữ liệu.

7.2 Giám sát

• Một lần chạy kiểm tra trạng thái kiểm tra các thành phần dịch vụ mỗi năm phút, bao gồm cơ sở dữ liệu, hàng đợi và nhịp báo hoạt động của trình quét, được trình quét ghi thường xuyên ngay cả khi không có tác vụ. Nếu thành phần gặp sự cố, thông báo được gửi; nếu khôi phục, có thông báo hoạt động trở lại.
• Giám sát chéo: Lần chạy kiểm tra trạng thái không thể báo sự cố của chính máy mà nó chạy trên đó. Vì vậy, máy chủ quét kiểm tra mỗi phút xem ứng dụng có phản hồi không và, sau nhiều lần thất bại liên tiếp, báo bằng văn bản cố định tới điện thoại đơn vị vận hành. Ngược lại, máy chủ web giám sát nhịp báo hoạt động của trình quét; danh sách kiểm tra thiết lập cho biết giám sát chéo có đang chạy hay không.
• Cảnh báo lỗi: Loại lỗi chưa từng xuất hiện được báo ngay một lần; lỗi tích tụ chỉ kích hoạt một tín hiệu duy nhất tới điện thoại đơn vị vận hành; mỗi ngày gửi một bản tổng quan. Điều này có nghĩa chúng tôi không phải đợi Khách hàng báo mới biết lỗi.
• Giới hạn được nêu rõ: Cả hai máy chủ ở cùng địa điểm. Sự cố toàn bộ địa điểm, chẳng hạn mất điện hoặc kết nối internet, không được bất kỳ cơ chế cảnh báo nào báo mà được con người nhận thấy.

7.3 Thay đổi và triển khai

• Phiên bản mới trước tiên được xây dựng và kiểm thử trong môi trường phát triển riêng. Triển khai kiểm tra mọi điều kiện tiên quyết trước khi ghi tệp đầu tiên, thực hiện thay đổi lược đồ cơ sở dữ liệu và để các kiểm tra đang chạy kết thúc có trật tự trước khi trình quét khởi động lại.
• Đối với hành trình của Khách hàng mới, có kiểm thử cơ bản qua HTTP thực, được chạy sau các lần chuyển đổi. Chúng tôi không tuyên bố có bộ kiểm thử tự động trước từng lần triển khai.

8. Xóa và thời hạn lưu giữ

• Một lần chạy xóa mỗi đêm thực thi các thời hạn nêu trong Chính sách quyền riêng tư và Thỏa thuận xử lý dữ liệu. Lần chạy đọc cùng những cài đặt được dùng để lấy số liệu trong văn bản; vì vậy, đối với những thời hạn này, văn bản và hành vi không khác nhau.
• Kết quả kiểm tra bao gồm ảnh chụp màn hình bị xóa sau 13 tháng (giữ lại kết quả mới nhất của mỗi tên miền), số liệu tiện ích sau 13 tháng, nhật ký chuyển giao cảnh báo sau 90 ngày, yêu cầu hỗ trợ sau 24 tháng.
• Gỡ tên miền xóa dữ liệu của tên miền, bao gồm các lần kiểm tra, biểu mẫu, phát hiện, ảnh chụp màn hình, báo cáo, tác vụ, đích và nhật ký cảnh báo, sự cố, dữ liệu giao thư, thông tin đăng nhập để quét sau khi đăng nhập và bằng chứng.
• Xóa tài khoản diễn ra ngay lập tức; không gian làm việc không có thêm thành viên bị xóa cùng dữ liệu, không gian làm việc có thêm thành viên được chuyển cho thành viên khác, ưu tiên quản trị viên và trong số đó là người đã tham gia lâu nhất. Cho đến khi hết thời hạn riêng, những dữ liệu sau vẫn còn: nhật ký có các mục giữ số tài khoản cũ, không còn tham chiếu tới tài khoản đang tồn tại nào, bao gồm mục ghi việc xóa, cùng e-mail đã gửi, bằng chứng giao kết hợp đồng, yêu cầu hỗ trợ, báo cáo kiểm tra website khách hàng tiềm năng (tối đa 90 ngày) và dữ liệu thanh toán tại Stripe; chi tiết có trong Chính sách quyền riêng tư.
• Dữ liệu đã xóa vẫn còn trong bản sao lưu đến khi chúng hết hạn sau 14 ngày. Không xóa có mục tiêu bên trong bản sao lưu; nếu khôi phục bản sao lưu, các yêu cầu xóa sau đó đã biết được thực hiện lại thủ công.

9. Tổ chức và rà soát

• Con người: Hiện tại chủ sở hữu tự vận hành dịch vụ. Người tham gia thêm chỉ được cấp quyền sau khi cam kết bảo mật và chỉ trong phạm vi cần thiết, đồng thời chỉ xử lý dữ liệu theo chỉ dẫn của chúng tôi (Điều 29 và Điều 32(4) GDPR).
• Bên xử lý phụ: Chúng tôi chỉ thuê sau khi rà soát các bảo đảm của họ và theo hợp đồng phù hợp Điều 28(4) GDPR, đồng thời liệt kê trên trang Bên xử lý phụ; chi tiết được điều chỉnh bởi Thỏa thuận xử lý dữ liệu.
• Vi phạm dữ liệu cá nhân: Nếu vi phạm dữ liệu cá nhân ảnh hưởng tới dữ liệu được xử lý thay mặt khách hàng, chúng tôi thông báo cho Khách hàng không chậm trễ không chính đáng, nếu có thể trong vòng 48 giờ; chi tiết được điều chỉnh bởi Thỏa thuận xử lý dữ liệu.
• Báo cáo lỗ hổng: Chúng tôi tiếp nhận báo cáo tại Bảo mật và qua tệp /.well-known/security.txt.
• Danh sách kiểm tra thiết lập và ra mắt: Trong khu vực quản trị, danh sách kiểm tra đo trạng thái của các cài đặt liên quan đến bảo mật, chẳng hạn sao lưu, quản trị viên không có yếu tố thứ hai, thiết lập thư và nhịp báo hoạt động, đồng thời hiển thị sai lệch.
• Rà soát các biện pháp này (Điều 32(1)(d) GDPR): vào mỗi thay đổi đáng kể của dịch vụ, sau mỗi sự cố bảo mật và ngoài ra ít nhất mỗi năm một lần. Khi đó, chúng tôi đánh giá các biện pháp có hiệu quả và còn phù hợp với rủi ro hay không, đồng thời ghi nhận kết quả trong phiên bản mới của trang này hoặc, nếu không có thay đổi, bằng ngày rà soát tại phần 11. Danh sách kiểm tra thiết lập và ra mắt liên tục đo trạng thái các cài đặt thuộc phạm vi của nó.
• Kiểm toán bên ngoài: Hiện không thuê thực hiện kiểm thử xâm nhập bên ngoài và không có chứng nhận bảo mật. Điều này được nêu tại đây để không ai cho rằng có.

10. Dự kiến, chưa triển khai

Những điểm này chưa phải biện pháp được cam kết cho đến khi được liệt kê tại đây là đã triển khai trong phiên bản mới:

• Sao lưu tại địa điểm thứ hai: bản sao mã hóa của bản sao lưu hằng đêm nằm ngoài máy chủ, để ngay cả khi mất toàn bộ máy chủ cũng không dẫn đến mất dữ liệu.
• Điểm kiểm tra thứ hai: Xác nhận độc lập cho kiểm tra trình duyệt từ địa điểm thứ hai đã được chuẩn bị trong dịch vụ nhưng chưa được thiết lập. Không có điểm này thì không có xác nhận từ địa điểm thứ hai.
• Tăng cường bảo mật quản trị máy chủ: Việc này đang tiếp tục. Vì các lý do nêu tại phần 1, chúng tôi không công bố chi tiết.

11. Trạng thái và phiên bản

• Phiên bản 1.1 · Cập nhật lần cuối: ngày 22 tháng 10 năm 2026 · trong trường hợp có khác biệt giữa các phiên bản ngôn ngữ, bản tiếng Ba Lan được ưu tiên thay cho bản tiếng Đức; không có thay đổi nào khác.
• Phiên bản 1.0 · Cập nhật lần cuối: ngày 11 tháng 10 năm 2026 · phiên bản đầu tiên dưới dạng trang riêng; trước đây là Phụ lục 2 của Thỏa thuận xử lý dữ liệu. Sửa so với phụ lục trước: kiểm thử khôi phục chạy hằng tuần, bản sao lưu nằm trên cùng máy chủ, không có bộ kiểm thử tự động chạy trước mỗi lần triển khai, kết nối trong mạng nội bộ không được mã hóa toàn bộ. Mô tả mới: mã hóa thông tin đăng nhập để quét sau khi đăng nhập, cách ly trình quét, giám sát chéo và cảnh báo lỗi.
• Thay đổi được công bố với số phiên bản mới tại đây và trong tổng quan Thay đổi tài liệu hợp đồng; đối với mọi sự suy yếu của biện pháp, áp dụng thời hạn thông báo trong Thỏa thuận xử lý dữ liệu.
• Trong trường hợp có khác biệt giữa các phiên bản ngôn ngữ, bản tiếng Ba Lan được ưu tiên áp dụng.