Danh sách kiểm tra bảo mật
VoicePing công bố danh sách kiểm tra bảo mật thông tin chi tiết tại liên kết sau: Bảng câu hỏi bảo mật VoicePing (PDF tiếng Anh, 2026-09-08)Bảo vệ dữ liệu
Mã hóa kết nối
- Ứng dụng và dữ liệu âm thanh/video chỉ sử dụng TLS 1.3.
- Mọi kết nối đều bắt buộc dùng HTTPS qua AWS ELB.
Sao lưu
- Chu kỳ: sao lưu hằng tháng bằng dịch vụ cơ sở dữ liệu của AWS.
- Thời gian lưu: nhật ký truy cập máy chủ được lưu trên S3 để giám sát bảo mật và điều tra sự cố. Nhật ký ứng dụng được thiết kế để không ghi trực tiếp dữ liệu cá nhân như tên, email hoặc nội dung phiên âm. Sau khi nhận yêu cầu xóa hợp lệ, các mã định danh có thể liên quan đến một cá nhân, chẳng hạn địa chỉ IP, sẽ bị xóa hoặc ẩn danh không thể đảo ngược trong vòng 30 ngày. Nhật ký chỉ được lưu trong thời gian tối thiểu cần thiết cho hoạt động và bảo mật, không được lưu dài hạn.
- Kế hoạch duy trì hoạt động: ngoài vị trí lưu trữ AWS Tokyo nêu trên, hệ thống duy trì bản lưu từ xa tại nhiều khu vực AWS để phục vụ khôi phục.
Hạn chế truy cập dữ liệu
- Quyền truy cập cơ sở dữ liệu và máy chủ được giới hạn theo địa chỉ IP cụ thể bằng AWS Security Groups.
- Dữ liệu của từng công ty được cách ly logic trong cơ sở dữ liệu.
Tính khả dụng
Thời gian hoạt động
- Dịch vụ được cung cấp liên tục 24 giờ mỗi ngày, 365 ngày mỗi năm.
- SLA: từ 99,9% trở lên.
Xử lý sự cố
- Bản sao chênh lệch của mã nguồn và bản sao lưu cơ sở dữ liệu cho phép khôi phục vào bất kỳ thời điểm nào, 24/7.
- Quy trình máy chủ và trạng thái hệ thống được giám sát bằng AWS CloudWatch hoặc hệ thống cảnh báo riêng.
- VoicePing gửi thông báo khi phát hiện thời gian ngừng dịch vụ.
Bảo trì theo kế hoạch
- Bản cập nhật thường được lên lịch vào khoảng 21:00 thứ Sáu và có thể làm gián đoạn kết nối trong vài giây. Lịch thực tế có thể thay đổi.
- Nếu cần cập nhật trong giờ làm việc, VoicePing sẽ thông báo thời gian thực qua email hoặc hỗ trợ trò chuyện trong Intercom.
Hỗ trợ
Thông báo sự cố
- VoicePing thông báo qua email và dịch vụ trò chuyện trong ứng dụng (Intercom).
Liên hệ khẩn cấp
- Liên hệ qua Intercom hoặc biểu mẫu liên hệ.
- Trong giờ làm việc (9:00–18:00), đội ngũ hỗ trợ đặt mục tiêu phản hồi trong khoảng 5 phút; thời gian thực tế có thể thay đổi tùy thời điểm.
Quản lý người dùng
Quản lý tài khoản
- Mỗi người dùng sử dụng một tài khoản riêng.
- Có thể xóa vĩnh viễn tài khoản của người dùng đã nghỉ việc hoặc chuyển công tác.
Quản lý mật khẩu
- Người dùng có thể thay đổi mật khẩu.
- Hỗ trợ xác thực hai yếu tố bằng mã gửi qua email.
Bảo mật ứng dụng web
VoicePing áp dụng các biện pháp bảo mật sau.Ngăn chặn SQL injection
- Phần máy chủ sử dụng lớp ORM cho các thao tác với cơ sở dữ liệu.
- Mọi câu lệnh SQL đều sử dụng tham số giữ chỗ.
- Tài khoản cơ sở dữ liệu chỉ được cấp quyền đọc và ghi cần thiết.
Ngăn chặn chèn lệnh hệ điều hành
- Hệ thống về nguyên tắc không thực thi lệnh shell.
- Khi cần xử lý gần với lớp shell, hệ thống chỉ dùng thư viện đã được xác minh an toàn.
Ngăn chặn duyệt đường dẫn và thư mục
- Dữ liệu được lưu trên dịch vụ lưu trữ bên ngoài hoặc trong cơ sở dữ liệu.
- Máy chủ web không cung cấp chức năng truy cập trực tiếp vào tệp.
- Tên tệp được tạo ngẫu nhiên và không thể dự đoán.
Quản lý phiên
- Mã phiên là chuỗi ngẫu nhiên có độ dài đủ lớn và không thể dự đoán.
- Mã phiên được lưu trong cookie, không nằm trong tham số URL.
- Cookie dùng cho kết nối HTTPS có thuộc tính
Secure. - Trang yêu cầu đăng nhập được tách khỏi trang truy cập công khai.
Ngăn chặn Cross-Site Scripting (XSS)
- Giao diện sử dụng các thư viện được thiết kế để xử lý dữ liệu đầu vào an toàn.
- HTTPS là bắt buộc qua AWS ELB.
- Mã hóa ký tự được khai báo trong trường
Content-Typecủa tiêu đề phản hồi HTTP. - Cookie có thuộc tính
HttpOnly.
Ngăn chặn Cross-Site Request Forgery (CSRF)
- Phần máy chủ kiểm soát truy cập đối với yêu cầu POST.
- Hệ thống xác minh trường
Referer. - Các thao tác quan trọng sẽ kích hoạt email tự động gửi đến địa chỉ đã đăng ký.
Ngăn chặn chèn tiêu đề HTTP
- Phần máy chủ sử dụng API của lớp trung gian để tạo tiêu đề phản hồi.
Ngăn chặn clickjacking
- Phản hồi có tiêu đề
X-Frame-Options. - Không thể thực hiện thao tác nếu không có phiên hợp lệ.
- Các thao tác quan trọng không thể hoàn tất chỉ bằng một lần nhấp chuột.
Ngăn chặn tràn bộ đệm
- Hệ thống sử dụng Node.js và không cho phép truy cập trực tiếp vào bộ nhớ.
- Thư viện được kiểm tra định kỳ qua GitHub; khi phát hiện lỗ hổng, yêu cầu cập nhật sẽ được tạo và xử lý kịp thời.
Kiểm soát truy cập và phân quyền
- Tài khoản có quyền quản trị có thể sử dụng xác thực hai yếu tố bằng mã gửi qua email.
- Ngoài xác thực, hệ thống còn kiểm tra quyền để ngăn người dùng đã đăng nhập mạo danh người khác.
Kiến trúc hệ thống
Sơ đồ dưới đây trình bày kiến trúc tổng thể của VoicePing. Mọi kết nối đều được bảo vệ bằng HTTPS hoặc giao thức mã hóa.
- Ứng dụng máy tính cho Windows, macOS và Linux
- Ứng dụng di động cho iOS và Android
- Ứng dụng web trên trình duyệt tương thích
- Cloudflare CDN
- Google Cloud Storage cho tệp tĩnh
- Bộ cân bằng tải trên AWS
- Máy chủ nghiệp vụ có xác thực bằng khóa API
- Máy chủ dịch và phiên âm, hỗ trợ triển khai tại chỗ và xác thực bằng khóa API
- Cơ sở dữ liệu Google Cloud SQL/RDB
- Amazon S3 lưu dữ liệu liên quan đến âm thanh, bản chép lời và hình ảnh
- API bên ngoài và dịch vụ của bên thứ ba có xác thực bằng khóa API