ปลอดภัยตั้งแต่การออกแบบ
เงินของผู้ให้ทิปไม่เคยผ่านมือ Tipjai เราเป็นเครื่องมือสร้าง QR และแจ้งเตือนเท่านั้น เอกสารนี้สรุปการควบคุมที่เราใช้จริงและวิธีรายงานช่องโหว่ให้เรา
การควบคุมที่ใช้จริง
- 01
ไม่ถือเงิน (non-custodial)
เงินวิ่งจากผู้ให้ทิปถึงครีเอเตอร์โดยตรง Tipjai ไม่เคยถือ พัก หรือโอนเงินของใคร ไม่มีกระเป๋ารวมให้ตกเป็นเป้า
- 02
Row-Level Security ทุกตาราง
ฐานข้อมูลทุกตารางบังคับ RLS ผู้ใช้เข้าถึงได้เฉพาะข้อมูลของตัวเอง การเขียนข้อมูลสำคัญผ่านเซิร์ฟเวอร์ที่ตรวจสิทธิ์แล้วเท่านั้น
- 03
ชำระเงินยืนยันได้ กันซ้ำ
Webhook ของผู้ให้บริการบัตรตรวจลายเซ็นดิจิทัล การยืนยันทิปเป็น idempotent การ์ดไม่เด้งซ้ำ และสลิปถูกกันใช้ซ้ำด้วยเลขอ้างอิงธุรกรรม
- 04
จำกัดอัตราการเรียก
ทุกช่องทางที่เขียนข้อมูลได้โดยไม่ต้องล็อกอิน และงานที่มีต้นทุน เช่น เสียงอ่านและการตรวจสลิป ถูกจำกัดอัตราต่อ IP หรือต่อผู้ใช้ กันการยิงถล่ม การปั่นยอด และการเผาโควต้า ช่องทางอื่นต้องล็อกอินเป็นเจ้าของบัญชีหรือทีมงาน หรือใช้กุญแจของระบบ
- 05
Content-Security-Policy + security headers
ตั้ง CSP, HSTS, X-Content-Type-Options, Referrer-Policy, Permissions-Policy และจำกัดการฝังหน้าจอไว้ที่ origin เดียวกัน
- 06
ความลับไม่ถึงเบราว์เซอร์
กุญแจและ secret ทั้งหมดอยู่ฝั่งเซิร์ฟเวอร์เท่านั้น ไม่มีความลับถูกส่งไปฝั่งผู้ใช้ และไม่เก็บเลขบัตรหรือรหัสผ่าน
- 07
กันสคริปต์ฝังในข้อความ (XSS)
ชื่อและข้อความของผู้ให้ทิปถูก escape และ sanitize ก่อนแสดงผลและก่อนขึ้น overlay พร้อมตัวกรองคำหยาบที่ครีเอเตอร์ปรับเองได้
- 08
ล็อกอินไม่มีรหัสผ่าน
เข้าสู่ระบบด้วยลิงก์หรือรหัสครั้งเดียวทางอีเมล พาสคีย์ บัญชี Google, Discord, Twitch, X, GitHub หรือ Streamlabs หรือกระเป๋า Solana และ Ethereum ไม่มีรหัสผ่านให้รั่ว และไม่มีฐานรหัสผ่านให้ถูกขโมย
- 09
การเชื่อมต่อภายนอกแบบจำกัดสิทธิ์
โทเคนของบริการที่เชื่อมต่อ เช่น X เก็บในตารางที่เข้าถึงได้เฉพาะฝั่งเซิร์ฟเวอร์ (deny-all) ไม่ถูกส่งไปเบราว์เซอร์ และเพิกถอนได้ทุกเมื่อ ส่วนผู้ช่วย Tipjai เห็นเฉพาะข้อมูลของบัญชีที่กำลังคุยด้วยตาม Row-Level Security
- 10
ความเป็นส่วนตัวตาม PDPA
เก็บข้อมูลเท่าที่จำเป็น เปิดเผยวัตถุประสงค์ ให้สิทธิเข้าถึง แก้ไข และลบ พร้อมแผนแจ้งเหตุละเมิด
โครงสร้างระบบ
หัวใจคือ non-custodial เงินวิ่งจากผู้ให้ทิปเข้าพร้อมเพย์ของครีเอเตอร์โดยตรงแบบ P2P ชั้นฐานข้อมูล (RLS) API (rate-limit + ยืนยันแบบ idempotent) และ overlay ออกแบบให้ตรวจสอบได้ ด้านล่างคือไดอะแกรมจริงของระบบ
วิธีตรวจสอบ
เราทำการตรวจสอบความปลอดภัยภายในแบบหลายมิติ ครอบคลุมการยืนยันตัวตนและการเข้าถึง ความถูกต้องของการชำระเงินและ webhook การฝังสคริปต์ (XSS) และ CSP การรั่วของความลับ การใช้งานในทางที่ผิด การเชื่อมต่อบัญชีภายนอกและการแยกข้อมูลของผู้ช่วย Tipjai และ Row-Level Security ของฐานข้อมูล ข้อค้นพบถูกจัดลำดับความรุนแรงและแก้ไขแล้ว และเราตรวจทานต่อเนื่องเมื่อมีฟีเจอร์ใหม่
หมายเหตุตามจริง นี่คือการตรวจสอบภายในที่เป็นระบบ ไม่ใช่การรับรองจากองค์กรภายนอก เราไม่กล่าวอ้างตราหรือใบรับรองที่เราไม่ได้รับจริง
รายงานช่องโหว่
เรายินดีรับการช่วยตรวจหาช่องโหว่ด้วยเจตนาดี โปรดรายงานแบบส่วนตัวก่อนเปิดเผยสาธารณะ และให้เวลาเราแก้ไขตามสมควร เราจะไม่ดำเนินคดีกับผู้ที่ทำตามนโยบายนี้ และยินดีให้เครดิต