Bảo mật tại DTC One

1.Cách ly dữ liệu giữa các doanh nghiệp

• Mọi bảng chứa dữ liệu doanh nghiệp được bảo vệ bằng row-level security của PostgreSQL, bật ở chế độ bắt buộc (FORCE). Ứng dụng kết nối bằng một tài khoản cơ sở dữ liệu không có quyền vượt qua cơ chế này.
• Mỗi yêu cầu chỉ thấy dữ liệu của đúng doanh nghiệp gắn với phiên đăng nhập. Nếu thiếu thông tin doanh nghiệp, truy vấn trả về rỗng — hệ thống mặc định đóng, không mặc định mở.
• Bộ kiểm thử tự động thất bại nếu có bảng dữ liệu doanh nghiệp nào thiếu chính sách cách ly, và có các bài kiểm thử cố tình đọc chéo dữ liệu giữa hai doanh nghiệp để chắc chắn bị chặn.
• Khách hàng của cửa hàng A không thể xem lịch hẹn, đơn hàng của cửa hàng B, kể cả khi dùng cùng một email.

2.Kiểm soát truy cập

• Phân quyền theo vai trò: mỗi vai trò (Quản trị, Quản lý, Nhân viên, hoặc vai trò tự tạo như Thu ngân, Pha chế, Kỹ thuật viên) có danh sách quyền cụ thể. Quyền được kiểm tra ở máy chủ cho từng thao tác.
• Phạm vi dữ liệu: có thể giới hạn để nhân viên chỉ thấy bản ghi của mình (ví dụ kỹ thuật viên chỉ thấy lịch hẹn mình phụ trách), và ẩn hoặc khoá từng trường dữ liệu theo vai trò.
• Khoá tài khoản tức thì: khi khoá một nhân viên, mọi phiên đăng nhập của người đó trên mọi thiết bị bị đăng xuất.
• Truy cập của đội ngũ DTCSoft: quản trị viên nền tảng bắt buộc dùng xác thực hai lớp (TOTP) và có mã khôi phục; chỉ truy cập dữ liệu doanh nghiệp khi cần vận hành, khắc phục sự cố hoặc hỗ trợ theo yêu cầu.

3.Mật khẩu và phiên đăng nhập

• Xác thực hai lớp (TOTP) cho chủ doanh nghiệp và nhân viên: bật trong phần tài khoản, quét mã bằng ứng dụng xác thực. Khi đã bật, mật khẩu đúng chưa đủ để vào — cần thêm mã 6 số trên điện thoại hoặc một mã khôi phục (mỗi mã dùng một lần). Nhập sai mã 5 lần, bước xác thực bị khoá 15 phút. Khoá bí mật được mã hoá AES-256-GCM, mã khôi phục chỉ lưu dạng băm.
• Mật khẩu tối thiểu 8 ký tự, được băm bằng argon2id — thuật toán được khuyến nghị cho lưu trữ mật khẩu. Chúng tôi không lưu và không thể xem mật khẩu gốc.
• Mã truy cập có hiệu lực 15 phút. Phiên đăng nhập được gia hạn bằng mã làm mới lưu trong cookie HttpOnly, được xoay vòng sau mỗi lần dùng; nếu một mã cũ bị dùng lại (dấu hiệu bị đánh cắp), cả chuỗi phiên bị thu hồi.
• Đặt lại mật khẩu qua liên kết dùng một lần, hết hạn sau 60 phút; sau khi đặt lại, mọi phiên đăng nhập cũ bị đăng xuất.
• Nhân viên nhận mật khẩu tạm buộc phải đổi mật khẩu ở lần đăng nhập đầu tiên.
• Khách hàng đăng nhập không cần mật khẩu, bằng mã 6 số gửi qua email: hiệu lực 10 phút, tối đa 5 lần nhập, tối đa 3 mã mỗi 10 phút cho một email.

4.Mã hoá

• Đường truyền: toàn bộ kết nối dùng HTTPS; chứng chỉ HTTPS cho tên miền riêng của doanh nghiệp do đội vận hành cấp và được gia hạn tự động.
• Khoá bí mật: khoá kết nối cổng thanh toán, Zalo, SMS và khoá xác thực hai lớp được mã hoá AES-256-GCM trước khi lưu, hỗ trợ xoay vòng khoá.
• Sao lưu: mã hoá AES-256 trước khi rời máy chủ.
• Tệp riêng tư: chỉ tải được qua đường dẫn có chữ ký, hết hạn sau 5 phút. Logo, ảnh bìa thương hiệu là tệp công khai.

5.Sao lưu và khôi phục

• Sao lưu tự động lúc 02:15 hằng đêm: cơ sở dữ liệu và tệp tải lên.
• Mỗi bản sao lưu được mã hoá, thử giải mã ngay trước khi giữ lại, và có mã kiểm tra toàn vẹn SHA-256.
• Giữ 7 bản hằng ngày, 4 bản hằng tuần và 6 bản hằng tháng; có thể sao một bản ra kho lưu trữ ngoài máy chủ ở chế độ chỉ thêm.
• Diễn tập khôi phục tự động hằng tháng: dựng lại dữ liệu từ bản sao lưu và kiểm tra số lượng bản ghi, chính sách cách ly giữa doanh nghiệp và khoá mã hoá.
• Mục tiêu: dữ liệu mất tối đa trong vòng 24 giờ ở sự cố nghiêm trọng nhất; thời gian khôi phục từ vài phút (máy chủ còn hoạt động) tới khoảng một giờ (dựng máy chủ mới).

6.Nhật ký hoạt động

• Thao tác quan trọng — đăng nhập, đăng nhập thất bại, thay đổi quyền, xuất bản ứng dụng, xác nhận thanh toán, xoá dữ liệu — được ghi lại kèm người thực hiện, thời gian, địa chỉ IP và thiết bị.
• Nhật ký không thể sửa hoặc xoá từ ứng dụng: tài khoản cơ sở dữ liệu của ứng dụng bị từ chối quyền sửa, xoá trên bảng nhật ký.
• Chủ doanh nghiệp xem nhật ký trong mục Nhật ký hoạt động.

7.Bảo vệ ứng dụng

• Giới hạn tần suất yêu cầu theo địa chỉ IP cho toàn hệ thống, chặt hơn ở các điểm nhạy cảm như đăng ký, quên mật khẩu, gửi mã đăng nhập.
• Dữ liệu đầu vào được kiểm tra theo lược đồ ở máy chủ. Ứng dụng do doanh nghiệp thiết kế là cấu hình, không chạy mã tuỳ ý hay HTML tuỳ ý.
• Tệp tải lên được kiểm tra theo nội dung thực (không chỉ phần đuôi tên tệp), chỉ nhận ảnh, PDF, DOCX, XLSX và giới hạn dung lượng.
• Các tiêu đề bảo mật trình duyệt chặn nhúng trang vào website lạ và hạn chế quyền truy cập camera, micro khi không cần.
• Webhook thanh toán được xác thực bằng khoá hoặc chữ ký và xử lý không trùng lặp.

8.Giám sát và xử lý sự cố

• Hệ thống tự cảnh báo cho kỹ sư trực khi có lỗi máy chủ, tác vụ nền thất bại, sao lưu thất bại hoặc tài nguyên máy chủ sắp cạn.
• Khi có sự cố ảnh hưởng tới dữ liệu cá nhân, chúng tôi khoanh vùng, khắc phục, thông báo cho doanh nghiệp bị ảnh hưởng và cơ quan có thẩm quyền theo quy định của pháp luật.

9.Hạ tầng

Dữ liệu được lưu trên máy chủ của nhà cung cấp hạ tầng đám mây, cách ly theo từng doanh nghiệp và được sao lưu có mã hoá. Danh sách các bên xử lý dữ liệu có tại Chính sách quyền riêng tư.

10.Việc bạn nên làm

• Dùng mật khẩu riêng, dài, không trùng với dịch vụ khác cho tài khoản quản trị. Bật xác thực hai lớp ở Cài đặt doanh nghiệp → Tài khoản — nhất là với tài khoản chủ doanh nghiệp.
• Chỉ cấp vai trò Quản trị cho người thật sự cần. Tạo vai trò riêng cho thu ngân, lễ tân, kỹ thuật viên với đúng quyền cần thiết.
• Khoá tài khoản nhân viên nghỉ việc ngay trong ngày.
• Không chọn “Ghi nhớ đăng nhập” trên máy dùng chung tại quầy.
• Xem Nhật ký hoạt động định kỳ, nhất là các lần xác nhận “Đã nhận tiền”.
• Cảnh giác với tin nhắn giả danh DTC One hoặc ngân hàng yêu cầu mật khẩu, mã đăng nhập hay chuyển tiền.

11.Báo cáo lỗ hổng

Nếu bạn phát hiện lỗ hổng bảo mật, vui lòng gửi tới [email protected] với mô tả, các bước tái hiện và mức ảnh hưởng dự đoán. Chúng tôi xác nhận đã nhận trong 3 ngày làm việc và cập nhật tiến độ xử lý cho bạn.

Khi kiểm thử, vui lòng: chỉ dùng tài khoản và doanh nghiệp do chính bạn tạo; không truy cập, sửa hay xoá dữ liệu của người khác; không tấn công từ chối dịch vụ, không gửi thư rác, không lừa đảo nhân viên; không công bố lỗ hổng trước khi chúng tôi khắc phục. Chúng tôi không khởi kiện các nghiên cứu thiện chí tuân thủ các điều trên.