Bảo mật

1. Lưu trữ và mã hóa

QR Wait chạy trên mạng lưới của Cloudflare (Workers và Durable Objects) và lưu dữ liệu tại đó. Mọi kết nối đều được mã hóa bằng HTTPS (TLS), và trình duyệt được yêu cầu chỉ dùng HTTPS trên qrwait.app và tất cả tên miền phụ của nó (HSTS, một năm).

Các trang áp dụng Content Security Policy nghiêm ngặt: script chỉ được tải từ QR Wait và Cloudflare, và không trang web nào khác được hiển thị QR Wait trong một khung (frame).

Cloudflare cho biết họ có chứng nhận ISO/IEC 27001, ISO/IEC 27701 và ISO/IEC 27018 (Cloudflare Trust Hub). Đây là chứng nhận của Cloudflare; bản thân QR Wait không có chứng nhận nào.

2. Tài khoản và đăng nhập

• Mật khẩu chỉ được lưu dưới dạng giá trị băm PBKDF2-SHA-256 có salt. Mật khẩu mới xuất hiện trong các vụ rò rỉ dữ liệu đã biết sẽ bị từ chối; để kiểm tra, chỉ 5 ký tự đầu của giá trị băm SHA-1 rời khỏi QR Wait (k-anonymity).
• Đăng nhập hai bước bằng ứng dụng xác thực (TOTP), kèm mã khôi phục dùng một lần. Chủ sở hữu thấy thành viên đội ngũ nào đã bật tính năng này.
• Thành viên đội ngũ có một vai trò (chủ sở hữu, quản lý hoặc nhân viên) và, nếu bị giới hạn, chỉ mở được các hàng chờ được giao.
• Sau 5 lần đăng nhập thất bại vào một tài khoản trong vòng 24 giờ, việc đăng nhập cần thêm bước kiểm tra bot (Cloudflare Turnstile).
• Một email được gửi đi khi tài khoản được đăng nhập từ trình duyệt mới.
• Phiên đăng nhập kết thúc sau 14 ngày không sử dụng; đổi mật khẩu hoặc "Đăng xuất các thiết bị khác" sẽ kết thúc tất cả các phiên còn lại.
• Liên kết xác minh, đặt lại mật khẩu và lời mời chỉ dùng được một lần, và chỉ giá trị băm của chúng được lưu.

3. Giới hạn tần suất

Yêu cầu được giới hạn theo địa chỉ IP tại biên mạng của Cloudflare: đăng nhập, đăng ký và đặt lại mật khẩu 10 lần mỗi phút, lấy số 60 lần mỗi phút, REST API 120 lần mỗi phút cho mỗi khóa và 120 lần mỗi phút cho mỗi địa chỉ IP.

4. Dữ liệu của khách

• Khách không bao giờ bị yêu cầu cung cấp số điện thoại hay địa chỉ email. Tên chỉ được hỏi nếu cơ sở bật tính năng này cho hàng chờ.
• Một phiếu, cùng với tên và câu trả lời trong biểu mẫu lấy số, bị xóa chậm nhất 24 giờ sau khi lấy số, bất kể cài đặt của hàng chờ.
• Không lưu vị trí. Khi hàng chờ kiểm tra vị trí, chỉ khoảng cách đến hàng chờ và thời điểm đo được giữ cùng với phiếu.
• Mã QR hiển thị trên màn hình của nhân viên đổi sau mỗi 15 đến 75 giây và mỗi mã có hiệu lực từ 1 đến 5 phút, nên ảnh chụp được chia sẻ ở nơi khác không giúp ai lấy số được.
• Thao tác của nhân viên trên bảng điều khiển được ghi nhật ký trong 30 ngày; liên kết nhân viên có thể bị thu hồi bất cứ lúc nào.

5. Sao lưu

Những gì không thể dựng lại (tài khoản, cài đặt hàng chờ, số lượt còn lại) được xuất hằng ngày sang Cloudflare R2 và được mã hóa trước khi ghi: mỗi phần có khóa AES-256-GCM riêng, và khóa này lại được mã hóa bằng một khóa công khai (RSA-OAEP). Khóa riêng tư dùng để mở được giữ ngoại tuyến. Bản xuất được giữ trong 35 ngày.

Phiếu không bao giờ nằm trong bản sao lưu: phiếu chứa tên của khách và chỉ tồn tại tối đa một ngày.

6. Tích hợp

• Webhook được ký (HMAC-SHA256 kèm dấu thời gian) bằng một khóa bí mật chỉ hiện một lần, và chỉ được gửi đến địa chỉ https công khai. Webhook chỉ chứa số thứ tự và thời gian, trừ khi cơ sở cho phép gửi tên đến một địa chỉ nhận.
• Khóa API chỉ hiện một lần và chỉ được lưu dưới dạng giá trị băm SHA-256. Một khóa chỉ có quyền đọc hoặc có cả quyền ghi, và có thể bị thu hồi bất cứ lúc nào.
• Chi tiết cho nhà phát triển: tài liệu tham khảo API và webhook (bằng tiếng Anh).

7. Bên xử lý phụ

Các công ty sau xử lý dữ liệu thay mặt QR Wait để vận hành dịch vụ:

Thông báo trên trình duyệt đi qua dịch vụ push của chính trình duyệt mà khách sử dụng. Cách dữ liệu được chuyển ra khỏi Thổ Nhĩ Kỳ và EU được giải thích trong chính sách quyền riêng tư.

8. Báo cáo lỗ hổng

Gửi email đến hello@qrwait.app với tiêu đề "Security". Chúng tôi xác nhận trong vòng 3 ngày làm việc và gửi đánh giá ban đầu trong vòng 10 ngày làm việc. Vui lòng không tiết lộ vấn đề cho đến khi được khắc phục, và chỉ kiểm thử bằng tài khoản và hàng chờ của chính bạn.

Chúng tôi sẽ không có hành động pháp lý nào đối với hoạt động nghiên cứu tuân thủ các quy tắc này với thiện chí. Không có chương trình thưởng tiền cho lỗi (bug bounty). Cùng thông tin liên hệ, ở dạng máy đọc được: security.txt.