امنیت و مستندسازی
اعتماد یک سازوکار،
نه یک نشان.
این صفحه شواهد است: سیستم چه چیزی را اعمال می‌کند، چه چیزی ذخیره می‌کند، چه کسی می‌تواند به آن برسد و چه چیزی هنوز نساخته‌ایم.
تماس امنیتی
support@salewise.co.ukمراحل بازتولید را بنویسید. لطفاً به داده فروشنده دیگری دسترسی پیدا نکنید یا سرویس را مختل نکنید.
وضعیت فعلی
- بدون گواهی SOC 2 یا ISO 27001.
- بدون آزمون نفوذ مستقل تا امروز.
- بدون نگهداری داده کارت.
خلاصه کوتاه
چهار ادعا، و اینکه شواهد کجاست.
صفت‌های بازاریابی نیست. تصمیم‌های طراحی‌اند که کد پشتشان است.
01
مدل نمی‌تواند قیمت تعیین کند.
بازیابی پیش از تولید اجرا می‌شود. مدل از میان شناسه‌های نامزد انتخاب می‌کند؛ سرور آن‌ها را اعتبارسنجی و قیمت، موجودی و گونه‌ها را خودش نمایش می‌دهد.
خواندن سازوکار02
رازهای ارائه‌دهنده در حالت سکون رمزنگاری می‌شوند.
AES-256-GCM، یک IV تصادفی برای هر رکورد، و داده احرازشده اضافی که هر متن رمزشده را به ارائه‌دهنده، حساب و رکورد یکپارچه‌سازی خودش متصل می‌کند.
خواندن سازوکار03
هیچ داده کارتی وارد Salewise نمی‌شود.
نه تسویه‌حسابی وجود دارد و نه ذخیره شماره کارت (PAN). خریدار روی تلفن تصمیم می‌گیرد و در صندوق فعلی فروشنده پرداخت می‌کند.
خواندن سازوکار04
دسترسی محدود است، نه مشترک.
مالکیت فروشگاه در هر مسیر فروشگاه بررسی می‌شود. توکن‌های دسترسی 15 دقیقه اعتبار دارند؛ توکن‌های تازه‌سازی هش می‌شوند و با هر استفاده می‌چرخند.
خواندن سازوکارمستند در ساختار
مدل انتخاب می‌کند. سرور نمایش می‌دهد.
بازیابی پیش از تولید اجرا می‌شود. مدل از میان نامزدها انتخاب می‌کند؛ سرور حساب و نمایش را انجام می‌دهد.
01
اول بازیابی
سرور پیش از آنکه از مدل چیزی پرسیده شود، محصولات نامزد را از کاتالوگ فروشنده بازیابی می‌کند. مدل هرگز در وب باز جستجو نمی‌کند.
02
مدل انتخاب می‌کند. سرور نمایش می‌دهد.
قیمت، موجودی، گونه‌ها و پیشنهادها در سمت سرور و از رکوردهای کاتالوگ نمایش داده می‌شوند. هیچ عددی در متن مدل منبع حقیقت نیست.
03
شناسه‌ها اعتبارسنجی می‌شوند
هر محصولی که مدل انتخاب می‌کند باید در مجموعه نامزدهای بازیابی‌شده وجود داشته باشد. شناسه‌های نامعتبر پیش از رسیدن پاسخ به خریدار کنار گذاشته می‌شوند.
04
امتناع صادقانه
اگر پاسخ در کاتالوگ نباشد، دستیار این را می‌گوید و ارجاع به نیروی انسانی پیشنهاد می‌کند. وقتی مدل در دسترس نیست، دستیار می‌گوید که نمی‌تواند پاسخ دهد؛ خریدار می‌تواند دوباره تلاش کند یا از یکی از کارکنان بپرسد.
چه چیزی به مدل می‌رود
- پرسش خریدار.
- مجموعه‌ای از نامزدهای بازیابی‌شده کاتالوگ.
- تنظیمات فروشگاه و متن سیاست مربوط.
چه چیزی هرگز به مدل نمی‌رود
- داده کارت یا اعتبارنامه پرداخت.
- گذرواژه‌ها، کلیدهای API یا کلید اصلی Salewise.
- ابزاری که بتواند در POS بنویسد.
دفتر کنترل
دفتر کنترل، نه نشان اعتماد.
هر ردیف کنترل، سازوکار پشت آن و محل محدودیت را نام می‌برد. اگر پرسش‌نامه جزئیات بیشتری می‌خواهد، بپرسید.
پاسخ‌های مستند
کاتالوگ منبع حقیقت است.
- سرور پیش از اجرای مدل، محصولات نامزد را بازیابی می‌کند. مدل فقط می‌تواند از همان مجموعه شناسه انتخاب کند. شناسه‌های نامعتبر کنار گذاشته می‌شوند و قیمت، موجودی، گونه‌ها و پیشنهادها در سمت سرور نمایش داده می‌شوند. اگر کاتالوگ پاسخی نداشته باشد، دستیار این را می‌گوید و ارجاع پیشنهاد می‌کند.
اعتبارنامه‌ها در حالت سکون
رازها رمزنگاری، متصل و نسخه‌بندی می‌شوند.
- اعتبارنامه‌های ارائه‌دهنده از AES-256-GCM با IV تصادفی 96 بیتی برای هر رکورد استفاده می‌کنند. داده احرازشده اضافی، متن رمزشده را به provider:{providerId}:account:{accountId}:credentials متصل می‌کند، بنابراین رکوردی که به مستأجر دیگری کپی شود رمزگشایی نمی‌شود. keyVersion از چرخش کلید پشتیبانی می‌کند؛ رمزگشایی ناموفق به‌جای بازگرداندن راز، بسته شکست می‌خورد.
درخواست‌های Salewise
امضاشده، نه فقط توکن حامل.
- درخواست‌های API اصلی Salewise امضای HMAC-SHA256 روی متد، مسیر، زمان، nonce و SHA-256 بدنه را حمل می‌کنند. امضا در زمان ثابت مقایسه می‌شود و به یک پنجره ضدبازپخش محدود است. کلید اصلی در سمت سرور، یک‌بار پیکربندی، در حالت سکون رمزنگاری‌شده و هرگز به مرورگر بازگردانده نمی‌شود.
حساب‌ها و نقش‌ها
حساب فروشنده، مدیر سرور نیست.
- Sage نقش‌های فروشنده و مدیر سرور دارد. گذرواژه‌ها از scrypt با نمک اختصاصی هر حساب استفاده می‌کنند. توکن‌های دسترسی پس از 15 دقیقه منقضی می‌شوند؛ توکن‌های تازه‌سازی به‌صورت هش ذخیره، با هر استفاده چرخانده و پس از 30 روز منقضی می‌شوند. دعوت‌ها پس از 7 روز منقضی می‌شوند و به ایمیل دعوت‌شده متصل‌اند.
جداسازی مستأجر
جستجوی فروشگاه یعنی بررسی مالکیت.
- هر مسیر فروشگاه، فروشگاه را پیدا می‌کند و پیش از بازگرداندن داده بررسی می‌کند که به حساب احرازشده تعلق دارد. متدهای مخزن بر اساس حساب و فروشگاه محدود می‌شوند و SQL پشت لایه مخزن می‌ماند، نه در مسیرهای درخواست.
داده کارت
بدون پرداخت، بدون PAN.
- Salewise پرداخت نمی‌گیرد و داده کارت ذخیره نمی‌کند. PWA خریدار تسویه‌حساب ندارد و تراکنش داخل POS فروشنده می‌ماند. ما ادعای دامنه PCI DSS برای پرداخت کارتی نمی‌کنیم، چون پرداخت کارتی را پردازش نمی‌کنیم.
نگهداری
پیکربندی‌شده، نه نامحدود.
- استقرار مرجع برای رونوشت نشست‌ها 180 روز و برای رکوردهای رویداد 365 روز پیکربندی شده است که با محیط و توافق‌نامه پردازش داده (DPA) تعیین می‌شود. نگهداری اختصاصی فروشنده در DPA توافق می‌شود و حذف بر اساس درخواست انجام می‌شود. پاک‌سازی زمان‌بندی‌شده امروز ادعا نمی‌شود.
ردپای ممیزی
رویدادهای مرتبط با امنیت رکورد می‌گذارند.
- ثبت‌نام، ورود، ورود ناموفق، دعوت‌ها، راه‌اندازی و تغییر اعتبارنامه یکپارچه‌سازی در گزارش ممیزی نوشته می‌شوند. ایمیل‌ها در جزئیات ممیزی هش می‌شوند، نه خام. گزارش امروز داخلی است؛ هنوز صفحه ممیزی رو به فروشنده وجود ندارد.
مرز مدل
مدل حداقل نیازش را می‌گیرد.
- مدل پرسش خریدار، نامزدهای بازیابی‌شده کاتالوگ، تنظیمات فروشگاه و متن سیاست مربوط را دریافت می‌کند. گذرواژه، اعتبارنامه API یا داده کارت دریافت نمی‌کند و هیچ ابزاری برای نوشتن در POS ندارد.
«ساخته‌شده» یعنی کنترل امروز در محصول وجود دارد. به این معنا نیست که هر کنترل مستقلاً ممیزی شده است. شکاف در پایین همین صفحه فهرست شده است.
اعتبارنامه‌ها و درخواست‌ها
در حالت سکون رمزنگاری‌شده. در مسیر امضاشده.
دو سازوکاری که بازبین امنیتی معمولاً اول از همه می‌پرسد.
اعتبارنامه‌ها در حالت سکون
- الگوریتم
- AES-256-GCM، رمزنگاری احرازشده.
- IV
- 12 بایت تصادفی برای هر رکورد، هرگز تکرار نمی‌شود.
- اتصال
- AAD provider:{providerId}:account:{accountId}:credentials. رکورد کپی‌شده رمزگشایی نمی‌شود.
- چرخش کلید
- keyVersion روی هر رکورد؛ کلید قبلی در طول چرخش پذیرفته می‌شود.
- خطا
- رمزگشایی ناموفق بسته شکست می‌خورد. با کلید قدیمی دوباره تلاش نمی‌کند.
درخواست‌های Salewise
کلید اصلی یک‌بار در راه‌اندازی سرور پیکربندی می‌شود. هر درخواست با آن امضا می‌شود؛ امضا یک توکن حامل نیست.
canonical = method + "\n" + path + "\n" + timestamp + "\n" + nonce + "\n" + sha256(body); signature = HMAC-SHA256(masterKey, canonical);
- به‌صورت X-Sage-Signature با هدرهای زمان و nonce ارسال می‌شود.
- در زمان ثابت مقایسه می‌شود، با یک پنجره ضدبازپخش.
- کلید اصلی در سمت سرور نگهداری و در حالت سکون رمزنگاری می‌شود.
- هرگز به مرورگر بازگردانده یا در گزارش نوشته نمی‌شود.
داده، نقش‌ها و نگهداری
داده محدود. دسترسی تعریف‌شده. یک رکورد.
دستیار برای پاسخ به پرسش محصول نیازی ندارد بداند خریدار چه کسی است.
یک نشست ثبت می‌کند
- شناسه نشست، کد QR و راهرویی که آن را آغاز کرده است.
- پرسش‌ها، پاسخ‌ها و توصیه‌ها.
- رویدادهای ارجاع و زمان‌ها.
بدون نام، حساب یا داده کارت. دمو نشست را به خریدار نام‌دار متصل نمی‌کند.
چه کسی می‌تواند به آن برسد
- یک حساب فروشنده، محدود به فروشگاه‌های متصل به آن.
- یک مدیر سرور، برای راه‌اندازی و پیکربندی ارائه‌دهنده.
- بدون دسترسی فروشگاه‌های دیگر از طریق مسیرهای فروشگاه.
دعوت‌ها به یک ایمیل متصل‌اند و پس از 7 روز منقضی می‌شوند.
چه مدت می‌ماند
- رونوشت نشست‌ها: پیکربندی‌شده برای 180 روز.
- رکوردهای رویداد: پیکربندی‌شده برای 365 روز.
- شرایط اختصاصی فروشنده: تعیین‌شده در DPA.
حذف بر اساس درخواست انجام می‌شود. پاک‌سازی زمان‌بندی‌شده امروز ادعا نمی‌شود.
رویدادهای ممیزی
ثبت‌نام، ورود، ورود ناموفق، دعوت‌ها، راه‌اندازی و تغییر اعتبارنامه یکپارچه‌سازی در گزارش ممیزی نوشته می‌شوند. ایمیل‌ها در جزئیات ممیزی هش می‌شوند، نه خام. گزارش امروز داخلی است؛ آن را به‌عنوان صفحه ممیزی رو به فروشنده ارائه نمی‌کنیم.
انتساب
رکورد باید از یک ممیزی جان سالم به در ببرد.
فروش تطبیق‌یافته یا دقیق است یا مدل‌شده. فروشنده می‌بیند کدام است و چرا.
قطعی
کد بازخریدی که از نشست تا فروش همراه می‌آید. اطمینان 1.0. بدون برچسب مدل‌شده. فروش کاملاً منتسب می‌شود.
مدل‌شده
فروشی در همان فروشگاه طی بازه دو ساعته که اقلام توصیه‌شده را دارد. امتیاز اطمینان ذخیره می‌شود، حداکثر 0.92، و تطابق هر جا گزارش شود با برچسب مدل‌شده می‌آید.
تطابق‌های دقیق دقیق‌اند. تطابق‌های مدل‌شده هر جا گزارش شوند با برچسب مدل‌شده می‌آیند. اشتراک تنها هزینه است و انتساب به‌عنوان درآمد ارائه نمی‌شود.
محدودیت‌های صادقانه
چه چیزی را ادعا نمی‌کنیم.
وقتی شکاف‌ها گفته می‌شوند، بررسی اعتماد آسان‌تر است.
اگر پرسش‌نامه‌ای چیزی از این فهرست می‌خواهد، بگویید.
ترجیح می‌دهیم معامله را از دست بدهیم تا اینکه دور پاسخ بچرخیم.
- 01
امروز گواهی SOC 2 یا ISO 27001 نداریم.
- 02
امروز آزمون نفوذ مستقل یا ممیزی امنیتی را کامل نکرده‌ایم.
- 03
ادعای دامنه PCI DSS برای پرداخت کارتی نمی‌کنیم، چون پرداخت کارتی را پردازش نمی‌کنیم.
- 04
در محصول فعلی، مدل مشترکی را روی کاتالوگ یا مکالمه‌های یک فروشنده آموزش نمی‌دهیم.
- 05
هیچ سیستم هوش مصنوعی بی‌خطر نیست. مستندسازی از ساختگی‌بودن می‌کاهد؛ نیاز به بازبینی فروشنده و قواعد ارجاع را از بین نمی‌برد.
- 06
امروز پاک‌سازی زمان‌بندی‌شده نگهداری اجرا نمی‌کنیم؛ حذف رویه‌ای عملیاتی تحت DPA است.
- 07
گزارش ممیزی ما داخلی است و به‌عنوان صفحه ممیزی رو به فروشنده ارائه نمی‌شود.
- 08
در این صفحه سطح سرویس وعده نمی‌دهیم؛ هر تعهد دسترس‌پذیری در فرم سفارش تعیین می‌شود.
افشای مسئولانه
اگر فکر می‌کنید آسیب‌پذیری پیدا کرده‌اید، با support@salewise.co.uk تماس بگیرید و جزئیات کافی برای بازتولید را بدهید. لطفاً به داده فروشنده دیگری دسترسی پیدا نکنید، سرویس را مختل نکنید یا پیش از فرصت پاسخ ما آن را علنی نکنید.
پرسش‌های امنیتی
پرسش سخت را بپرسید.
پرسش‌نامه‌های امنیتی، شرایط پردازش داده و پرسش‌های معماری خوش‌آمدند. به آنچه داریم پاسخ می‌دهیم و می‌گوییم چه چیزی نداریم.