Keamanan

1. Hosting dan enkripsi

QR Wait berjalan di jaringan Cloudflare (Workers dan Durable Objects) dan menyimpan datanya di sana. Setiap koneksi dienkripsi dengan HTTPS (TLS), dan browser diminta hanya memakai HTTPS di qrwait.app dan semua subdomainnya (HSTS, satu tahun).

Halaman-halamannya memakai Content Security Policy yang ketat: skrip hanya dimuat dari QR Wait dan Cloudflare, dan tidak ada situs lain yang boleh menampilkan QR Wait di dalam frame.

Cloudflare menyatakan memiliki validasi ISO/IEC 27001, ISO/IEC 27701, dan ISO/IEC 27018 (Cloudflare Trust Hub). Itu milik Cloudflare; QR Wait sendiri tidak memiliki sertifikasi.

2. Akun dan masuk

• Kata sandi hanya disimpan sebagai hash PBKDF2-SHA-256 dengan salt. Kata sandi baru yang muncul dalam kebocoran data yang diketahui akan ditolak; untuk pemeriksaan itu hanya 5 karakter pertama dari hash SHA-1-nya yang keluar dari QR Wait (k-anonimitas).
• Masuk dua langkah dengan aplikasi autentikator (TOTP), dengan kode pemulihan sekali pakai. Pemilik dapat melihat anggota tim mana yang sudah mengaktifkannya.
• Anggota tim memiliki peran (pemilik, manajer, atau petugas) dan, jika dibatasi, hanya membuka antrean yang diberikan kepada mereka.
• Setelah 5 kali gagal masuk ke sebuah akun dalam 24 jam, masuk juga memerlukan pemeriksaan bot (Cloudflare Turnstile).
• Email dikirim saat akun dimasuki dari browser baru.
• Sesi berakhir setelah 14 hari tidak dipakai; mengganti kata sandi atau "Keluar dari perangkat lain" mengakhiri semua sesi lainnya.
• Tautan verifikasi, atur ulang kata sandi, dan undangan hanya bisa dipakai sekali, dan hanya hash-nya yang disimpan.

3. Batas permintaan

Permintaan dibatasi per alamat IP di tepi jaringan Cloudflare: masuk, daftar, dan atur ulang kata sandi 10 per menit, bergabung ke antrean 60 per menit, REST API 120 per menit per kunci dan 120 per menit per alamat IP.

4. Data pengunjung

• Pengunjung tidak pernah dimintai nomor telepon atau alamat email. Nama hanya ditanyakan jika bisnis mengaktifkannya untuk antrean itu.
• Tiket, beserta nama dan jawaban formulir bergabung di dalamnya, dihapus paling lambat 24 jam setelah bergabung, apa pun pengaturan antreannya.
• Tidak ada lokasi yang disimpan. Jika antrean memeriksa lokasi, hanya jarak ke antrean dan waktu pengukurannya yang disimpan bersama tiket.
• Kode QR yang ditampilkan di layar petugas berganti setiap 15 hingga 75 detik dan setiap kode berlaku 1 hingga 5 menit, jadi foto yang dibagikan di tempat lain tidak membuat siapa pun bisa masuk.
• Apa yang dilakukan petugas di panel dicatat selama 30 hari; tautan petugas dapat ditarik kapan saja.

5. Cadangan

Data yang tidak bisa dibangun ulang (akun, pengaturan antrean, saldo tiket) diekspor setiap hari ke Cloudflare R2 dan dienkripsi sebelum ditulis: setiap bagian dengan kunci AES-256-GCM sendiri, yang dienkripsi lagi dengan kunci publik (RSA-OAEP). Kunci privat untuk membukanya disimpan secara offline. Ekspor disimpan selama 35 hari.

Tiket tidak pernah masuk ke cadangan: tiket berisi nama pengunjung dan hanya ada paling lama sehari.

6. Integrasi

• Webhook ditandatangani dengan rahasia yang ditampilkan sekali (HMAC-SHA256 dengan stempel waktu) dan hanya dikirim ke alamat https publik. Isinya hanya nomor dan waktu, kecuali bisnis mengizinkan nama untuk sebuah alamat.
• Kunci API ditampilkan sekali dan hanya disimpan sebagai hash SHA-256. Sebuah kunci hanya membaca atau juga menulis, dan dapat dicabut kapan saja.
• Detail untuk pengembang: referensi API dan webhook (dalam bahasa Inggris).

7. Subprosesor

Perusahaan-perusahaan ini memproses data atas nama QR Wait untuk menjalankan layanan:

Notifikasi browser melewati layanan push dari browser milik pengunjung sendiri. Cara data keluar dari Turki dan UE dijelaskan di kebijakan privasi.

8. Melaporkan kerentanan

Tulis ke hello@qrwait.app dengan subjek "Security". Kami mengonfirmasi dalam 3 hari kerja dan mengirim penilaian awal dalam 10 hari kerja. Mohon jangan membuka masalah itu ke publik sampai diperbaiki, dan uji hanya dengan akun dan antrean Anda sendiri.

Kami tidak akan mengambil langkah hukum terhadap riset yang mengikuti aturan ini dengan itikad baik. Tidak ada program bug bounty berbayar. Kontak yang sama, dalam bentuk yang dapat dibaca mesin: security.txt.