Bảo mật & báo cáo lỗ hổng

Biện pháp đang áp dụng

• Khuyến nghị triển khai HTTPS (ví dụ Let’s Encrypt) để mã hóa kết nối.
• Khu vực quản trị yêu cầu đăng nhập; API nhạy cảm kiểm tra phiên / API key.
• Upload ảnh kiểm tra MIME thật và chỉ lưu dưới thư mục uploads được kiểm soát.
• Thanh toán thẻ (nếu bật) qua cổng bên thứ ba (ví dụ PayPal); không lưu số thẻ trên máy chủ này.
• Agent / Migration API dùng Bearer hoặc X-Api-Key, không truyền key trên query string.

Báo cáo lỗ hổng

Nếu bạn phát hiện lỗ hổng, vui lòng liên hệ riêng (không công bố công khai trước khi chúng tôi xử lý). Mô tả rõ bước tái hiện, tác động và bằng chứng (PoC an toàn).

Phạm vi

Trong phạm vi: ứng dụng web này, API công khai của site, form gửi dữ liệu, thanh toán tích hợp trên domain này.

Ngoài phạm vi: tấn công DoS/DDoS, social engineering với nhân viên, quét tự động gây quá tải, hoặc vấn đề trên dịch vụ bên thứ ba ngoài tầm kiểm soát của chúng tôi.

Dữ liệu

Site có thể lưu thông tin đơn hàng, form liên hệ và tài khoản quản trị trên máy chủ của bạn. Magic link đơn hàng / hỗ trợ là bí mật — không chia sẻ công khai.