ความปลอดภัยและการควบคุม

การแยกข้อมูลร้านค้า

แต่ละร้านค้าจัดเก็บในฐานข้อมูลและโฟลเดอร์ไฟล์ของตัวเอง ไม่ใช้ตารางข้อมูลร่วมกับร้านค้าอื่น
ทุกคำขอที่เข้าสู่ระบบจะถูกตรวจสอบว่าผู้ใช้ยังเป็นสมาชิกของร้านค้านั้นหรือไม่ และมีสิทธิ์ในส่วนนั้นหรือไม่
เมื่อสมาชิกถูกนำออกจากร้านค้า เซสชันการเข้าสู่ระบบของสมาชิกนั้นในร้านค้าดังกล่าวจะถูกยกเลิกทันที

การกำหนดสิทธิ์ตามบทบาท

สิทธิ์แบ่งออกเป็น 10 ส่วน (ภาพรวม บทสนทนา คำสั่งซื้อ ลูกค้า สินค้าและคลังสินค้า การเงิน การตลาด AI การตั้งค่า สมาชิก) แต่ละส่วนมี 3 ระดับ: ไม่มีสิทธิ์ ดู แก้ไข
ฟังก์ชันใหม่จะใช้ได้เฉพาะเจ้าของร้านค้าโดยค่าเริ่มต้น จนกว่าจะถูกกำหนดให้อยู่ในส่วนสิทธิ์ใดส่วนหนึ่ง ด้วยวิธีนี้ข้อมูลจะไม่รั่วไหลจากความพลั้งเผลอระหว่างการพัฒนาฟีเจอร์ใหม่
ป้องกันการยกระดับสิทธิ์: สมาชิกไม่สามารถสร้าง กำหนด หรือแก้ไขบทบาทที่มีสิทธิ์สูงกว่าสิทธิ์ของตนเอง และไม่สามารถดำเนินการใด ๆ กับเจ้าของร้านค้าได้
การสำรองข้อมูล การกู้คืน การดูบันทึก และการโอนสิทธิ์ความเป็นเจ้าของ ทำได้โดยเจ้าของร้านค้าเท่านั้น

บัญชีและการเข้าสู่ระบบ

รหัสผ่านต้องมีอย่างน้อย 10 ตัวอักษร และถูกแฮชด้วยอัลกอริทึม scrypt พร้อมซอลต์ (salt) แบบสุ่ม Lavix ไม่จัดเก็บและไม่สามารถอ่านรหัสผ่านต้นฉบับได้
ระงับการเข้าสู่ระบบชั่วคราว 15 นาที หลังจากกรอกผิดติดต่อกัน 8 ครั้งจากที่อยู่เดียวกัน
เซสชันการเข้าสู่ระบบใช้คุกกี้ HttpOnly, SameSite ส่งผ่าน HTTPS เท่านั้น และหมดอายุหลัง 7 วัน คุณสามารถออกจากระบบบนอุปกรณ์อื่นทั้งหมดได้ที่ การตั้งค่า → บัญชีและการสำรองข้อมูล
การเข้าสู่ระบบด้วย Google ใช้มาตรฐาน OAuth 2.0 พร้อม PKCE และรหัสป้องกันการปลอมแปลง (state) แบบใช้ครั้งเดียว Lavix ได้รับเพียงชื่อ อีเมล และรหัสระบุบัญชี Google เท่านั้น
การยืนยันอีเมล: เมื่อลงทะเบียน Lavix จะส่งรหัส 6 หลักไปยังอีเมลของคุณ รหัสยืนยันและรหัสรีเซ็ตรหัสผ่านจัดเก็บในรูปแบบเข้ารหัสทางเดียวเท่านั้น หมดอายุหลัง 30 นาที ใช้ได้ครั้งเดียว และถูกยกเลิกหลังกรอกผิด 5 ครั้ง การรีเซ็ตรหัสผ่านจะออกจากระบบบนทุกอุปกรณ์
ไม่รวมบัญชีโดยอัตโนมัติตามอีเมล: หากอีเมล Google ตรงกับบัญชี Lavix ที่มีอยู่แล้ว คุณต้องกรอกรหัสผ่านของบัญชีนั้นให้ถูกต้องจึงจะเชื่อมโยงได้ วิธีนี้ป้องกันไม่ให้ผู้ไม่หวังดียึดบัญชีด้วยการลงทะเบียนล่วงหน้าโดยใช้อีเมลของคุณ

การคุ้มครองข้อมูล

ทุกการเชื่อมต่อกับ lavix.io เข้ารหัสด้วย HTTPS/TLS
คีย์การเข้าถึงทั้งหมดของแพลตฟอร์มและพันธมิตร (Meta Page, Messenger, โฆษณา, Conversions API, Pancake, POS, บริษัทขนส่ง, Telegram, ผู้ให้บริการ AI) ถูกเข้ารหัสด้วย AES-256-GCM เมื่อจัดเก็บ คีย์ถอดรหัสได้รับการจัดการแยกจากฐานข้อมูล หากไม่มีคีย์ถอดรหัส ระบบจะปฏิเสธการบันทึกแทนที่จะบันทึกเป็นข้อความธรรมดา
ข้อมูลสำรองของร้านค้าถูกเข้ารหัสด้วย AES-256-GCM โดยใช้รหัสผ่านที่คุณตั้ง หากไม่มีรหัสผ่านนั้นจะเปิดไฟล์สำรองไม่ได้
การกู้คืนข้อมูลจะตรวจสอบความสมบูรณ์ของไฟล์เสมอ และสำรองสถานะปัจจุบันโดยอัตโนมัติก่อนแทนที่
รายละเอียดเกี่ยวกับข้อมูลที่เก็บรวบรวมและระยะเวลาการจัดเก็บดูได้ที่นโยบายความเป็นส่วนตัว

AI ที่ควบคุมได้

เฉพาะข้อมูลที่จำเป็นสำหรับฟีเจอร์ที่กำลังใช้งานเท่านั้นที่จะถูกส่งไปยังผู้ให้บริการ AI
ข้อมูลที่ได้รับจาก Google เมื่อเข้าสู่ระบบ รหัสผ่าน คีย์การเข้าถึง และข้อมูลบัญชีธนาคาร ไม่เคย ถูกส่งไปยัง AI
ร้านค้าสามารถเปิดหรือปิดฟีเจอร์ AI และกำหนดขีดจำกัดรวมถึงการขออนุมัติสำหรับการดำเนินการที่ AI เสนอได้
รายชื่อผู้ให้บริการ AI และสถานที่ประมวลผลเผยแพร่ไว้ที่รายชื่อผู้ประมวลผลข้อมูลช่วง

สิทธิ์การเข้าถึงของทีมงาน Lavix

พนักงาน Lavix ไม่เข้าถึงข้อมูลร้านค้าในการทำงานตามปกติ เมื่อจำเป็นต้องให้การสนับสนุนทางเทคนิคโดยตรง:

เซสชันช่วยเหลือเปิดด้วยรหัสแบบใช้ครั้งเดียว ซึ่งหมดอายุหลัง 5 นาทีหากไม่ได้ใช้
แต่ละเซสชันช่วยเหลือจะสิ้นสุดเองภายในไม่เกิน 2 ชั่วโมง
ตลอดเซสชัน ร้านค้าจะเห็นการแจ้งเตือน "เซสชันช่วยเหลือของ Admin" บนหน้าจอ การเข้าถึงจะถูกบันทึกไว้ในบันทึกการเปลี่ยนแปลงของร้านค้า
เซสชันช่วยเหลือไม่สามารถโอนสิทธิ์ความเป็นเจ้าของหรือออกจากร้านค้าแทนคุณได้

โครงสร้างพื้นฐานและการดำเนินงาน

เซิร์ฟเวอร์ตั้งอยู่ในลาวและเวียดนาม การรับส่งข้อมูลผ่าน Cloudflare เพื่อป้องกันการโจมตีแบบปฏิเสธการให้บริการและกระจายโหลด
ระบบมีช่องทางการเผยแพร่สองช่องทางที่แยกจากกัน: เวอร์ชันเสถียร (Stable) และเวอร์ชันทดลอง (Canary) ฟีเจอร์ใหม่จะถูกทดสอบบน Canary ก่อน และแต่ละร้านค้าจะทำงานบนช่องทางเดียวเท่านั้นในแต่ละช่วงเวลา
ผู้ดูแลระบบมีเครื่องมือสำรองและกู้คืนข้อมูลทั้งระบบซึ่งมีการเข้ารหัส

การเชื่อมต่อแพลตฟอร์ม

Lavix ขอเฉพาะสิทธิ์ที่จำเป็นสำหรับฟีเจอร์ที่คุณเปิดใช้งาน และเชื่อมต่อเฉพาะทรัพย์สินที่คุณเลือกเองเท่านั้น
คุณสามารถยกเลิกการเชื่อมต่อได้ทุกเมื่อ ทั้งใน Lavix หรือบนแพลตฟอร์มนั้นโดยตรง ดูคำแนะนำการลบข้อมูล

สิ่งที่คุณทำได้เพื่อความปลอดภัยยิ่งขึ้น

ใช้รหัสผ่านที่รัดกุมและใช้เฉพาะกับ Lavix หรือเข้าสู่ระบบด้วย Google
อย่าใช้บัญชีร่วมกัน เชิญแต่ละคนเข้าร้านค้าด้วยบัญชีของตนเอง
ให้สิทธิ์เท่าที่งานจำเป็นเท่านั้น และนำสมาชิกออกทันทีเมื่อลาออก
ตรวจดูบันทึกการเปลี่ยนแปลงอย่างสม่ำเสมอและดาวน์โหลดข้อมูลสำรองเป็นระยะ
Lavix ไม่เคยขอรหัสผ่านหรือรหัสยืนยันของคุณทางอีเมล ข้อความ หรือโทรศัพท์

การรายงานช่องโหว่ด้านความปลอดภัย

หากคุณพบช่องโหว่ด้านความปลอดภัย โปรดส่งอีเมลไปที่ [email protected] พร้อมคำอธิบาย ขั้นตอนการทำซ้ำ และระดับผลกระทบที่คาดว่าจะเกิด เราจะยืนยันการรับรายงานภายใน 3 วันทำการ และแจ้งความคืบหน้าในการแก้ไขให้คุณทราบ

ในระหว่างการตรวจสอบ โปรด:

อย่าเข้าถึง แก้ไข หรือลบข้อมูลที่ไม่ใช่ของคุณ ใช้เฉพาะบัญชีและร้านค้าของคุณเองในการทดสอบ
อย่าโจมตีแบบปฏิเสธการให้บริการ อย่าส่งสแปม และอย่าหลอกลวงพนักงานหรือผู้ใช้ของ Lavix
ให้เวลาเราตามสมควรในการแก้ไขก่อนเปิดเผยข้อมูล

Lavix จะไม่ดำเนินคดีกับผู้วิจัยที่กระทำโดยสุจริตและปฏิบัติตามหลักการข้างต้น ขณะนี้เรายังไม่มีโปรแกรมให้รางวัลเป็นเงินสำหรับการรายงานช่องโหว่

เมื่อเกิดเหตุการณ์

หากเกิดเหตุการณ์ด้านความปลอดภัยที่ส่งผลกระทบต่อข้อมูล เราจะจำกัดขอบเขตและแก้ไข แจ้งร้านค้าที่ได้รับผลกระทบและหน่วยงานที่มีอำนาจตามที่กฎหมายกำหนด และแนะนำขั้นตอนการป้องกันที่จำเป็น