Bảo mật hệ thống

1. Báo cáo lỗ hổng bảo mật

Nếu phát hiện lỗ hổng trong hệ thống của CloudNest, vui lòng gửi email tới [email protected]. Báo cáo được chuyển thẳng tới người phụ trách bảo mật, không qua bộ phận hỗ trợ chung. Nên kèm theo:

• Mô tả lỗ hổng và mức ảnh hưởng theo đánh giá của bạn
• Các bước tái hiện: URL hoặc địa chỉ IP, thời điểm thử, ảnh chụp màn hình hoặc log nếu có
• Cách liên hệ lại với bạn

Chúng tôi xác nhận đã nhận trong vòng 3 ngày làm việc, cập nhật cho bạn trong quá trình xử lý và báo lại khi đã khắc phục. CloudNest hiện chưa có chương trình thưởng tiền (bug bounty).

2. Nguyên tắc khi kiểm thử

• Chỉ kiểm thử trên tài khoản và VPS của chính bạn. Không truy cập, sửa hay xoá dữ liệu của khách hàng khác.
• Nếu vô tình chạm tới dữ liệu không phải của bạn: dừng lại, không lưu giữ hay chia sẻ, và báo ngay cho chúng tôi.
• Không tấn công từ chối dịch vụ, không gửi spam, không lừa đảo hay giả danh nhân viên hoặc khách hàng.
• Chưa công bố chi tiết lỗ hổng khi chưa được khắc phục — mặc định 90 ngày kể từ khi báo, có thể thoả thuận.

Nghiên cứu tuân thủ các nguyên tắc trên được chúng tôi coi là hợp tác thiện chí: chúng tôi sẽ làm việc cùng bạn để xác minh và khắc phục vấn đề.

3. Phạm vi

4. Cách chúng tôi bảo vệ hệ thống

• Mật khẩu VPS, giấy tờ định danh (KYC) và khoá tích hợp được mã hoá khi lưu trữ (AES-256-GCM)
• Khu quản trị cổng khách hàng chỉ mở cho địa chỉ IP được phép; hỗ trợ đăng nhập bằng passkey và yêu cầu xác thực lại trước thao tác nhạy cảm
• Sao lưu cơ sở dữ liệu hằng đêm, có bản sao trên máy chủ tách biệt; quy trình khôi phục đã được diễn tập
• Rà soát bảo mật mã nguồn định kỳ và vá theo mức độ nghiêm trọng
• Giám sát tự động từ một máy chủ độc lập, cảnh báo tức thì cho bộ phận vận hành