સુરક્ષા અને ગ્રાઉન્ડિંગ
વિશ્વાસ એ મિકેનિઝમ,
બેજ નહીં.
આ પૃષ્ઠ પુરાવો છે: સિસ્ટમ શું લાગુ કરે છે, શું સંગ્રહે છે, કોણ તેને પહોંચી શકે છે, અને અમે હજી શું બનાવ્યું નથી.
સુરક્ષા સંપર્ક
support@salewise.co.ukપુનઃઉત્પાદનના પગલાં સામેલ કરો. કૃપા કરીને અન્ય વેપારીના ડેટાને ઍક્સેસ કરશો નહીં કે સેવામાં ખલેલ પાડશો નહીં.
વર્તમાન સ્થિતિ
- SOC 2 કે ISO 27001 પ્રમાણપત્ર નથી.
- હજી સુધી સ્વતંત્ર પેનિટ્રેશન ટેસ્ટ નથી.
- કોઈ કાર્ડ ડેટા રાખવામાં આવતો નથી.
ટૂંકી આવૃત્તિ
ચાર દાવા, અને પુરાવો ક્યાં છે.
માર્કેટિંગ વિશેષણો નહીં. પાછળ કોડ ધરાવતા ડિઝાઇન નિર્ણયો.
01
મોડલ કિંમત સેટ કરી શકતું નથી.
જનરેશન પહેલા રિટ્રીવલ ચાલે છે. મોડલ સંભવિત IDઓમાંથી પસંદ કરે છે; સર્વર તેમની ચકાસણી કરે છે અને કિંમત, સ્ટોક તથા વેરિઅન્ટ જાતે રેન્ડર કરે છે.
મિકેનિઝમ વાંચો02
પ્રદાતાના રહસ્યો સંગ્રહમાં એન્ક્રિપ્ટ થાય છે.
AES-256-GCM, દરેક રેકોર્ડ માટે રેન્ડમ IV, અને વધારાનો પ્રમાણિત ડેટા જે દરેક સાઇફરટેક્સ્ટને તેના પ્રદાતા, એકાઉન્ટ અને ઇન્ટિગ્રેશન રેકોર્ડ સાથે બાંધે છે.
મિકેનિઝમ વાંચો03
Salewiseમાં કોઈ કાર્ડ ડેટા પ્રવેશતો નથી.
કોઈ ચેકઆઉટ નથી અને PAN સંગ્રહ નથી. ગ્રાહક ફોન પર નિર્ણય કરે છે અને વેપારીના હાલના કાઉન્ટર પર ચૂકવે છે.
મિકેનિઝમ વાંચો04
ઍક્સેસ અવકાશિત છે, વહેંચાયેલી નથી.
દરેક સ્ટોર રૂટ પર સ્ટોરની માલિકી ચકાસાય છે. ઍક્સેસ ટોકન 15 મિનિટ ટકે છે; રિફ્રેશ ટોકન હેશ થાય છે અને વપરાશ પર ફેરવાય છે.
મિકેનિઝમ વાંચોરચનાથી આધારિત
મોડલ પસંદ કરે છે. સર્વર રેન્ડર કરે છે.
જનરેશન પહેલા રિટ્રીવલ ચાલે છે. મોડલ સંભવિત વિકલ્પોમાંથી પસંદ કરે છે; સર્વર ગણતરી અને રેન્ડરિંગ કરે છે.
01
પહેલા રિટ્રીવલ
મોડલને કંઈ પૂછવામાં આવે તે પહેલાં સર્વર વેપારીના કેટલોગમાંથી સંભવિત ઉત્પાદનો મેળવે છે. મોડલ ક્યારેય ખુલ્લા વેબ પર શોધતું નથી.
02
મોડલ પસંદ કરે છે. સર્વર રેન્ડર કરે છે.
કિંમતો, સ્ટોક, વેરિઅન્ટ અને ઓફર સર્વર-સાઇડે કેટલોગ રેકોર્ડમાંથી રેન્ડર થાય છે. મોડલના લખાણમાંનો આંકડો ક્યારેય સત્યનો સ્રોત નથી.
03
IDઓની ચકાસણી થાય છે
મોડલ પસંદ કરે છે તે દરેક ઉત્પાદન મેળવેલા સંભવિત સેટમાં હોવું જોઈએ. અમાન્ય IDઓ જવાબ ગ્રાહક સુધી પહોંચે તે પહેલાં કાઢી નાખવામાં આવે છે.
04
પ્રામાણિક ઇનકાર
જો કેટલોગમાં જવાબ ન હોય, તો એજન્ટ તેમ કહે છે અને હેન્ડઓવરની ઓફર કરે છે. મોડલ ઉપલબ્ધ ન હોય ત્યારે સહાયક કહે છે કે તે જવાબ આપી શકતો નથી; ગ્રાહક ફરી પ્રયાસ કરી શકે છે અથવા કોઈ સ્ટાફ સભ્યને પૂછી શકે છે.
મોડલ પાસે શું જાય છે
- ગ્રાહકનો પ્રશ્ન.
- મેળવેલા કેટલોગ સંભવિત વિકલ્પોનો સેટ.
- સ્ટોર સેટિંગ્સ અને સંબંધિત નીતિનું લખાણ.
મોડલ પાસે ક્યારેય શું જતું નથી
- કાર્ડ ડેટા કે પેમેન્ટ ઓળખપત્રો.
- પાસવર્ડ, API કી કે Salewise માસ્ટર કી.
- POSમાં લખી શકે તેવું કોઈ સાધન.
નિયંત્રણ ખાતાવહી
નિયંત્રણ ખાતાવહી, વિશ્વાસ બેજ નહીં.
દરેક પંક્તિ નિયંત્રણ, તેની પાછળનું મિકેનિઝમ અને મર્યાદા ક્યાં છે તે જણાવે છે. જો પ્રશ્નાવલીને વધુ વિગત જોઈએ, તો પૂછો.
આધારિત જવાબો
કેટલોગ સત્યનો સ્રોત છે.
- મોડલ ચાલે તે પહેલાં સર્વર સંભવિત ઉત્પાદનો મેળવે છે. મોડલ ફક્ત એ સેટમાંથી ID પસંદ કરી શકે. અમાન્ય IDઓ કાઢી નાખવામાં આવે છે, અને કિંમત, સ્ટોક, વેરિઅન્ટ તથા ઓફર સર્વર-સાઇડે રેન્ડર થાય છે. કેટલોગમાં જવાબ ન હોય તો એજન્ટ તેમ કહે છે અને હેન્ડઓવરની ઓફર કરે છે.
સંગ્રહમાં ઓળખપત્રો
રહસ્યો એન્ક્રિપ્ટ, બંધાયેલા અને વર્ઝન કરેલા.
- પ્રદાતાના ઓળખપત્રો AES-256-GCM સાથે દરેક રેકોર્ડ માટે રેન્ડમ 96-બિટ IV વાપરે છે. વધારાનો પ્રમાણિત ડેટા સાઇફરટેક્સ્ટને provider:{providerId}:account:{accountId}:credentials સાથે બાંધે છે, જેથી બીજા ટેનન્ટમાં નકલ કરેલો રેકોર્ડ ડિક્રિપ્ટ થવામાં નિષ્ફળ જાય. keyVersion કી રોટેશનને સમર્થન આપે છે; નિષ્ફળ ડિક્રિપ્ટ રહસ્ય પરત આપવાને બદલે બંધ રીતે નિષ્ફળ જાય છે.
Salewise વિનંતીઓ
સહી કરેલી, ફક્ત બેરર નહીં.
- Salewise માસ્ટર APIની વિનંતીઓ પર મેથડ, પાથ, ટાઇમસ્ટેમ્પ, નોન્સ અને બોડીના SHA-256 પર HMAC-SHA256 સહી હોય છે. સહી સ્થિર સમયમાં સરખાવાય છે અને રીપ્લે વિન્ડો દ્વારા મર્યાદિત હોય છે. માસ્ટર કી સર્વર-સાઇડે છે, એક વાર રૂપરેખાંકિત થાય છે, સંગ્રહમાં એન્ક્રિપ્ટ થાય છે અને ક્યારેય બ્રાઉઝરને પરત આપવામાં આવતી નથી.
એકાઉન્ટ અને ભૂમિકાઓ
વેપારી એકાઉન્ટ સર્વર એડમિન નથી.
- Sageમાં વેપારી અને સર્વર-એડમિન ભૂમિકાઓ છે. પાસવર્ડ દરેક એકાઉન્ટ માટે અલગ સોલ્ટ સાથે scrypt વાપરે છે. ઍક્સેસ ટોકન 15 મિનિટ પછી સમાપ્ત થાય છે; રિફ્રેશ ટોકન હેશ તરીકે સંગ્રહાય છે, વપરાશ પર ફેરવાય છે અને 30 દિવસ પછી સમાપ્ત થાય છે. આમંત્રણ 7 દિવસ પછી સમાપ્ત થાય છે અને આમંત્રિત ઇમેલ સાથે બંધાયેલું હોય છે.
ટેનન્ટ અલગીકરણ
સ્ટોર લુકઅપ એ માલિકી ચકાસણી છે.
- દરેક સ્ટોર રૂટ ડેટા પરત આપતા પહેલાં સ્ટોર શોધે છે અને ચકાસે છે કે તે પ્રમાણિત એકાઉન્ટનું છે. રિપોઝિટરી મેથડ એકાઉન્ટ અને સ્ટોર પ્રમાણે અવકાશિત છે, અને SQL રૂટ હેન્ડલરમાં નહીં, રિપોઝિટરી સ્તરની પાછળ રહે છે.
કાર્ડ ડેટા
કોઈ ચુકવણી નહીં, કોઈ PAN નહીં.
- Salewise ચુકવણી લેતું નથી અને કાર્ડ ડેટા સંગ્રહતું નથી. ગ્રાહક PWAમાં કોઈ ચેકઆઉટ નથી, અને વ્યવહાર વેપારીના POSમાં જ રહે છે. અમે કાર્ડ ચુકવણી માટે PCI DSS અવકાશનો દાવો કરતા નથી, કારણ કે અમે કાર્ડ ચુકવણી પ્રોસેસ કરતા નથી.
સંગ્રહ
રૂપરેખાંકિત, અનિશ્ચિત નહીં.
- સંદર્ભ ડિપ્લોયમેન્ટ સેશન ટ્રાન્સક્રિપ્ટ માટે 180 દિવસ અને ઘટના રેકોર્ડ માટે 365 દિવસ માટે રૂપરેખાંકિત છે, જે પર્યાવરણ અને DPA દ્વારા સેટ થાય છે. વેપારી-વિશિષ્ટ સંગ્રહ DPAમાં સંમત થાય છે, અને વિનંતી પર ડિલીશન થાય છે. આજે નિર્ધારિત સમયે સફાઈનો દાવો કરવામાં આવતો નથી.
ઓડિટ ટ્રેલ
સુરક્ષા-સંબંધિત ઘટનાઓ રેકોર્ડ છોડે છે.
- નોંધણી, સાઇન-ઇન, નિષ્ફળ સાઇન-ઇન, આમંત્રણ, સેટઅપ અને ઇન્ટિગ્રેશન ઓળખપત્રોના ફેરફાર ઓડિટ લોગમાં લખાય છે. ઓડિટ વિગતોમાં ઇમેલ કાચા સંગ્રહવાને બદલે હેશ થાય છે. લોગ આજે આંતરિક છે; હજી સુધી વેપારી-સામેની ઓડિટ સ્ક્રીન નથી.
મોડલ સીમા
મોડલને જેટલું ન્યૂનતમ જોઈએ તેટલું જ મળે છે.
- મોડલને ગ્રાહકનો પ્રશ્ન, મેળવેલા કેટલોગ સંભવિત વિકલ્પો, સ્ટોર સેટિંગ્સ અને સંબંધિત નીતિનું લખાણ મળે છે. તેને પાસવર્ડ, API ઓળખપત્રો કે કાર્ડ ડેટા મળતા નથી, અને તેની પાસે POSમાં લખી શકે તેવું કોઈ સાધન નથી.
“બનેલું” એટલે નિયંત્રણ આજે ઉત્પાદનમાં છે. એટલું નહીં કે દરેક નિયંત્રણનું સ્વતંત્ર ઓડિટ થયું છે. અંતર આ પૃષ્ઠના તળિયે યાદીમાં છે.
ઓળખપત્રો અને વિનંતીઓ
સંગ્રહમાં એન્ક્રિપ્ટ. પ્રવાસમાં સહી.
સુરક્ષા સમીક્ષક સામાન્ય રીતે પહેલા પૂછે તે બે મિકેનિઝમ.
સંગ્રહમાં ઓળખપત્રો
- એલ્ગોરિધમ
- AES-256-GCM, પ્રમાણિત એન્ક્રિપ્શન.
- IV
- દરેક રેકોર્ડ માટે 12 રેન્ડમ બાઇટ, ક્યારેય ફરી વપરાતા નથી.
- બાઈન્ડિંગ
- AAD provider:{providerId}:account:{accountId}:credentials. નકલ કરેલો રેકોર્ડ ડિક્રિપ્ટ થવામાં નિષ્ફળ જાય છે.
- રોટેશન
- દરેક રેકોર્ડ પર keyVersion; રોટેશન દરમિયાન અગાઉની કી સ્વીકારાય છે.
- નિષ્ફળતા
- નિષ્ફળ ડિક્રિપ્ટ બંધ રીતે નિષ્ફળ જાય છે. તે જૂના રહસ્ય સાથે ફરી પ્રયાસ કરતું નથી.
Salewise વિનંતીઓ
માસ્ટર કી સર્વર સેટઅપ દરમિયાન એક વાર રૂપરેખાંકિત થાય છે. દરેક વિનંતી તેની સાથે સહી થાય છે; સહી બેરર ટોકન નથી.
canonical = method + "\n" + path + "\n" + timestamp + "\n" + nonce + "\n" + sha256(body); signature = HMAC-SHA256(masterKey, canonical);
- ટાઇમસ્ટેમ્પ અને નોન્સ હેડર સાથે X-Sage-Signature તરીકે મોકલાય છે.
- સ્થિર સમયમાં સરખાવાય છે, રીપ્લે વિન્ડો સાથે.
- માસ્ટર કી સર્વર-સાઇડે રાખવામાં આવે છે અને સંગ્રહમાં એન્ક્રિપ્ટ થાય છે.
- ક્યારેય બ્રાઉઝરને પરત આપવામાં આવતી નથી કે લોગમાં લખાતી નથી.
ડેટા, ભૂમિકાઓ અને સંગ્રહ
સાંકડો ડેટા. અવકાશિત ઍક્સેસ. એક રેકોર્ડ.
ઉત્પાદનના પ્રશ્નનો જવાબ આપવા સહાયકને ગ્રાહક કોણ છે તે જાણવાની જરૂર નથી.
સેશન નોંધે છે
- સેશન ID, QR કોડ અને તેને શરૂ કરનાર એસલ.
- પ્રશ્નો, જવાબો અને ભલામણો.
- હેન્ડઓફ ઘટનાઓ અને ટાઇમસ્ટેમ્પ.
કોઈ નામ, એકાઉન્ટ કે કાર્ડ ડેટા નહીં. ડેમો સેશનને નામવાળા ગ્રાહક સાથે જોડતું નથી.
કોણ પહોંચી શકે
- વેપારી એકાઉન્ટ, તેની સાથે જોડાયેલા સ્ટોર સુધી અવકાશિત.
- સેટઅપ અને પ્રદાતા રૂપરેખાંકન માટે સર્વર એડમિન.
- સ્ટોર રૂટ દ્વારા કોઈ આંતર-વેપારી સ્ટોર ઍક્સેસ નહીં.
આમંત્રણ ઇમેલ સાથે બંધાય છે અને 7 દિવસ પછી સમાપ્ત થાય છે.
કેટલો સમય રહે છે
- સેશન ટ્રાન્સક્રિપ્ટ: 180 દિવસ માટે રૂપરેખાંકિત.
- ઘટના રેકોર્ડ: 365 દિવસ માટે રૂપરેખાંકિત.
- વેપારી-વિશિષ્ટ શરતો: DPAમાં સેટ.
વિનંતી પર ડિલીશન થાય છે. આજે નિર્ધારિત સમયે સફાઈનો દાવો કરવામાં આવતો નથી.
ઓડિટ ઘટનાઓ
નોંધણી, સાઇન-ઇન, નિષ્ફળ સાઇન-ઇન, આમંત્રણ, સેટઅપ અને ઇન્ટિગ્રેશન ઓળખપત્રોના ફેરફાર ઓડિટ લોગમાં લખાય છે. ઓડિટ વિગતોમાં ઇમેલ કાચા સંગ્રહવાને બદલે હેશ થાય છે. લોગ આજે આંતરિક છે; અમે તેને વેપારી-સામેની ઓડિટ સ્ક્રીન તરીકે રજૂ કરતા નથી.
એટ્રિબ્યુશન
રેકોર્ડ ઓડિટમાં ટકવો જોઈએ.
મેચ થયેલું વેચાણ ચોક્કસ છે અથવા મોડલ-આધારિત. વેપારી જોઈ શકે છે કે કયું, અને કેમ.
નિર્ધારિત
સેશનથી વેચાણ સુધી પહોંચેલો રિડેમ્પ્શન કોડ. વિશ્વાસ 1.0. મોડલ-આધારિત નથી. વેચાણ સીધું એટ્રિબ્યુટ થાય છે.
મોડલ-આધારિત
બે કલાકની વિન્ડોમાં એ જ સ્ટોરના એવા વેચાણમાં જેમાં સૂચવેલી વસ્તુઓ હોય. વિશ્વાસ સ્કોર સંગ્રહાય છે, 0.92 પર મર્યાદિત, અને મેચ જ્યાં જ્યાં જણાવાય ત્યાં મોડલ-આધારિત લેબલ સાથે આવે છે.
ચોક્કસ મેચ ચોક્કસ છે. મોડલ-આધારિત મેચ જ્યાં જ્યાં જણાવાય ત્યાં મોડલ-આધારિત લેબલ સાથે છે. સબ્સ્ક્રિપ્શન જ એકમાત્ર ફી છે, અને એટ્રિબ્યુશનને આવક તરીકે રજૂ કરવામાં આવતું નથી.
પ્રામાણિક મર્યાદાઓ
અમે શું દાવો કરતા નથી.
અંતર જણાવાય ત્યારે વિશ્વાસ ચકાસવો સહેલો થાય છે.
જો પ્રશ્નાવલીમાં આ યાદીમાંની કંઈ જોઈએ, તો જણાવો.
અમે તેની આસપાસ જવાબ આપવાને બદલે સોદો ગુમાવવાનું પસંદ કરીશું.
- 01
અમારી પાસે આજે SOC 2 કે ISO 27001 પ્રમાણપત્ર નથી.
- 02
અમે આજે સ્વતંત્ર પેનિટ્રેશન ટેસ્ટ કે સુરક્ષા ઓડિટ પૂર્ણ કર્યું નથી.
- 03
અમે કાર્ડ ચુકવણી માટે PCI DSS અવકાશનો દાવો કરતા નથી, કારણ કે અમે કાર્ડ ચુકવણી પ્રોસેસ કરતા નથી.
- 04
વર્તમાન ઉત્પાદનમાં અમે એક વેપારીના કેટલોગ કે વાતચીત પર શેર કરેલું મોડલ તાલીમ આપતા નથી.
- 05
કોઈ AI સિસ્ટમ જોખમમુક્ત નથી. ગ્રાઉન્ડિંગ શોધને ઘટાડે છે; તે વેપારીની સમીક્ષા અને હેન્ડઓવર નિયમોની જરૂર દૂર કરતું નથી.
- 06
અમે આજે નિર્ધારિત સંગ્રહ સફાઈ ચલાવતા નથી; ડિલીશન DPA હેઠળની કામગીરી પ્રક્રિયા છે.
- 07
અમારો ઓડિટ લોગ આંતરિક છે અને વેપારી-સામેની ઓડિટ સ્ક્રીન તરીકે ખુલ્લો નથી.
- 08
અમે આ પૃષ્ઠ પર સેવા સ્તરનું વચન આપતા નથી; કોઈ ઉપલબ્ધતા પ્રતિબદ્ધતા ઓર્ડર ફોર્મમાં નક્કી થાય છે.
જવાબદાર જાહેરાત
જો તમને લાગે કે ભેદ્યતા મળી છે, તો સંપર્ક કરો support@salewise.co.uk પુનઃઉત્પાદન માટે પૂરતી વિગત સાથે. કૃપા કરીને અન્ય વેપારીના ડેટાને ઍક્સેસ કરશો નહીં, સેવામાં ખલેલ પાડશો નહીં, અથવા અમને જવાબ આપવાની તક મળે તે પહેલાં જાહેરમાં જાહેર કરશો નહીં.
સુરક્ષા પ્રશ્નો
અઘરો પ્રશ્ન પૂછો.
સુરક્ષા પ્રશ્નાવલી, ડેટા પ્રોસેસિંગ શરતો અને આર્કિટેક્ચર પ્રશ્નોનું સ્વાગત છે. અમારી પાસે જે છે તેનો જવાબ આપીશું અને જે નથી તે કહીશું.