ความปลอดภัย

1. การโฮสต์และการเข้ารหัส

QR Wait ทำงานบนเครือข่ายของ Cloudflare (Workers และ Durable Objects) และจัดเก็บข้อมูลไว้ที่นั่น การเชื่อมต่อทุกครั้งเข้ารหัสด้วย HTTPS (TLS) และเบราว์เซอร์ได้รับคำสั่งให้ใช้เฉพาะ HTTPS บน qrwait.app และโดเมนย่อยทั้งหมด (HSTS หนึ่งปี)

หน้าเว็บมี Content Security Policy ที่เข้มงวด: สคริปต์โหลดได้จาก QR Wait และ Cloudflare เท่านั้น และไม่มีเว็บไซต์อื่นใดแสดง QR Wait ภายในเฟรมได้

Cloudflare ระบุว่าได้รับการรับรอง ISO/IEC 27001, ISO/IEC 27701 และ ISO/IEC 27018 (Cloudflare Trust Hub) การรับรองเหล่านี้เป็นของ Cloudflare ตัว QR Wait เองไม่มีการรับรองใด

2. บัญชีและการเข้าสู่ระบบ

• รหัสผ่านถูกจัดเก็บเป็นค่าแฮช PBKDF2-SHA-256 แบบใส่ salt เท่านั้น รหัสผ่านใหม่ที่ปรากฏในข้อมูลรั่วไหลที่ทราบกันจะถูกปฏิเสธ ในการตรวจสอบนี้ มีเพียง 5 ตัวอักษรแรกของค่าแฮช SHA-1 เท่านั้นที่ออกจาก QR Wait (k-anonymity)
• การเข้าสู่ระบบแบบสองขั้นตอนด้วยแอปยืนยันตัวตน (TOTP) พร้อมรหัสกู้คืนแบบใช้ครั้งเดียว เจ้าของจะเห็นว่าสมาชิกทีมคนใดเปิดใช้แล้ว
• สมาชิกทีมมีบทบาท (เจ้าของ ผู้จัดการ หรือพนักงาน) และหากถูกจำกัด จะเปิดได้เฉพาะคิวที่ได้รับมอบหมายเท่านั้น
• หลังจากเข้าสู่ระบบบัญชีไม่สำเร็จ 5 ครั้งภายใน 24 ชั่วโมง การเข้าสู่ระบบจะต้องผ่านการตรวจสอบบอต (Cloudflare Turnstile) ด้วย
• ระบบจะส่งอีเมลเมื่อมีการเข้าสู่ระบบบัญชีจากเบราว์เซอร์ใหม่
• เซสชันจะสิ้นสุดหลังจากไม่ได้ใช้งาน 14 วัน การเปลี่ยนรหัสผ่านหรือ "ออกจากระบบอุปกรณ์อื่น" จะสิ้นสุดเซสชันอื่นทั้งหมด
• ลิงก์ยืนยัน ลิงก์รีเซ็ตรหัสผ่าน และลิงก์คำเชิญใช้ได้ครั้งเดียว และจัดเก็บเพียงค่าแฮชของลิงก์

3. การจำกัดอัตราคำขอ

คำขอถูกจำกัดตามที่อยู่ IP ที่ขอบเครือข่ายของ Cloudflare: การเข้าสู่ระบบ การสมัครใช้งาน และการรีเซ็ตรหัสผ่าน 10 ครั้งต่อนาที การเข้าคิว 60 ครั้งต่อนาที REST API 120 ครั้งต่อนาทีต่อคีย์ และ 120 ครั้งต่อนาทีต่อที่อยู่ IP

4. ข้อมูลของลูกค้า

• ระบบไม่เคยขอหมายเลขโทรศัพท์หรืออีเมลจากลูกค้า ระบบจะขอชื่อเฉพาะเมื่อกิจการเปิดใช้สำหรับคิวนั้น
• บัตรคิว รวมถึงชื่อและคำตอบในแบบฟอร์มเข้าคิวที่อยู่ในบัตรคิว จะถูกลบอย่างช้าที่สุด 24 ชั่วโมงหลังจากเข้าคิว ไม่ว่าการตั้งค่าของคิวจะเป็นอย่างไร
• ระบบไม่จัดเก็บตำแหน่ง เมื่อคิวตรวจสอบตำแหน่ง มีเพียงระยะห่างถึงคิวและเวลาที่วัดเท่านั้นที่เก็บไว้กับบัตรคิว
• QR Code ที่แสดงบนหน้าจอพนักงานจะเปลี่ยนทุก 15 ถึง 75 วินาที และแต่ละโค้ดใช้ได้ 1 ถึง 5 นาที รูปถ่ายที่แชร์ไปที่อื่นจึงใช้เข้าคิวไม่ได้
• การดำเนินการของพนักงานในหน้าจอพนักงานจะถูกบันทึกไว้ 30 วัน และเพิกถอนลิงก์พนักงานได้ทุกเมื่อ

5. การสำรองข้อมูล

ข้อมูลที่สร้างใหม่ไม่ได้ (บัญชี การตั้งค่าคิว บัตรคิวคงเหลือ) จะถูกส่งออกไปยัง Cloudflare R2 ทุกวัน และเข้ารหัสก่อนเขียน: แต่ละส่วนใช้คีย์ AES-256-GCM ของตนเอง ซึ่งคีย์นั้นถูกเข้ารหัสด้วยกุญแจสาธารณะ (RSA-OAEP) อีกชั้นหนึ่ง กุญแจส่วนตัวที่ใช้เปิดข้อมูลเก็บไว้แบบออฟไลน์ ข้อมูลที่ส่งออกจะเก็บไว้ 35 วัน

บัตรคิวไม่เคยอยู่ในข้อมูลสำรอง: บัตรคิวมีชื่อลูกค้าและมีอายุไม่เกินหนึ่งวัน

6. การเชื่อมต่อ

• Webhook ได้รับการลงนาม (HMAC-SHA256 พร้อมเวลาประทับ) ด้วยรหัสลับที่แสดงเพียงครั้งเดียว และส่งไปยังที่อยู่ https สาธารณะเท่านั้น โดยมีเพียงหมายเลขและเวลา เว้นแต่กิจการอนุญาตให้ส่งชื่อสำหรับปลายทางนั้น
• คีย์ API แสดงเพียงครั้งเดียวและจัดเก็บเป็นค่าแฮช SHA-256 เท่านั้น คีย์แต่ละคีย์อ่านได้อย่างเดียว หรืออ่านและเขียนได้ และเพิกถอนได้ทุกเมื่อ
• รายละเอียดสำหรับนักพัฒนา: เอกสารอ้างอิง API และ webhook (ภาษาอังกฤษ)

7. ผู้ประมวลผลข้อมูลช่วง

บริษัทเหล่านี้ประมวลผลข้อมูลในนามของ QR Wait เพื่อการให้บริการ:

การแจ้งเตือนในเบราว์เซอร์ส่งผ่านบริการ push ของเบราว์เซอร์ของลูกค้าเอง วิธีที่ข้อมูลถูกส่งออกนอกตุรกีและสหภาพยุโรปอธิบายไว้ในนโยบายความเป็นส่วนตัว

8. การรายงานช่องโหว่

เขียนถึง hello@qrwait.app โดยใช้หัวเรื่อง "Security" เราจะยืนยันการรับภายใน 3 วันทำการ และส่งผลการประเมินเบื้องต้นภายใน 10 วันทำการ โปรดเก็บปัญหาไว้เป็นความลับจนกว่าจะได้รับการแก้ไข และทดสอบกับบัญชีและคิวของคุณเองเท่านั้น

เราจะไม่ดำเนินคดีกับการวิจัยที่ปฏิบัติตามกฎเหล่านี้โดยสุจริต ไม่มีโครงการให้รางวัลค้นหาช่องโหว่ (bug bounty) แบบจ่ายเงิน ช่องทางติดต่อเดียวกันในรูปแบบที่เครื่องอ่านได้: security.txt