ParkViet đứng trên Ruby on Rails và Spree Commerce, rồi thêm các lớp bảo vệ riêng cho tiền mặt, công nợ và kho. Trang này ghi rõ cái gì kế thừa, cái gì ParkViet làm thêm, và cái gì chưa có.
Bảo mật đặt lên hàng đầu, từ lõi tới quầy thu ngân
Phần mềm bán hàng giữ tiền, hàng và thông tin khách của bạn. ParkViet đứng trên hai nền tảng mã nguồn mở đã được kiểm chứng nhiều năm là Ruby on Rails và Spree Commerce, rồi bổ sung thêm các lớp bảo vệ riêng cho tiền mặt, công nợ và kho.
Nền Ruby on Rails
Mặc định chống SQL injection, CSRF và XSS, các lỗi phổ biến nhất của ứng dụng web.
Không lưu số thẻ
Dữ liệu thẻ do SDK của cổng thanh toán thu trực tiếp, không đi qua máy chủ của bạn. Stripe, Adyen, PayPal đều đạt chuẩn PCI.
Mã hoá dữ liệu nhạy cảm
Khoá webhook, token cổng thanh toán và OAuth được mã hoá trong cơ sở dữ liệu.
Quy trình vá lỗi công khai
Spree nhận báo cáo lỗ hổng riêng, phản hồi trong 48 giờ và công bố bản vá qua GitHub Security Advisory.
Kế thừa từ Spree Commerce và Ruby on Rails.
ParkViet bổ sung
Có test và bằng chứng trong mã nguồn.
Bắt buộc HTTPS trên môi trường production
Quét Brakeman và bundler-audit trong CI ở mỗi thay đổi mã nguồn
Dependabot cập nhật thư viện và bản vá bảo mật hằng tuần
Phiên nhân viên POS: token chỉ trong bộ nhớ, cookie HttpOnly, SameSite
Chặn truy cập chéo chi nhánh, có test cho từng API tiền và kho
Mỗi lệnh thu, hoàn tiền chỉ ghi một lần dù mạng chập chờn
Webhook VietQR xác minh chữ ký, chống trùng giao dịch
Che số điện thoại khách với nhân viên không có quyền; màn hình khách không hiện thông tin cá nhân
File CSV xuất ra được chống CSV injection và tự hết hạn
Tính năng rủi ro mặc định tắt; thu chi két có người xác nhận
Cam kết của chúng tôi
Những việc ParkViet luôn làm khi phát triển.
1
Theo sát bản vá của Spree và Rails
Cập nhật lõi khi có bản vá bảo mật, không giữ phiên bản đã hết hỗ trợ.
2
Không phát hành tính năng tiền, kho khi chưa có test bảo mật
Mọi API đụng tới tiền và hàng đều có test phân quyền đi kèm.
3
Công khai lỗ hổng sau khi vá
Báo cáo được xử lý kín, vá xong mới công bố để người dùng kịp cập nhật.
4
Rà soát bảo mật độc lậpDự kiến
Thuê đơn vị bên ngoài kiểm thử xâm nhập trước khi khuyến nghị dùng cho dòng tiền lớn.
ParkViet chưa có chứng nhận bảo mật riêng và chưa qua kiểm thử xâm nhập độc lập. Với phần mềm tự cài, mức an toàn thực tế còn phụ thuộc vào cách vận hành máy chủ: cập nhật thường xuyên, sao lưu và đặt khoá mã hoá.
Phần việc của người vận hành
Với phần mềm tự cài, máy chủ do bạn quản lý. Đây là những việc nên làm ngay từ đầu.
Trên máy chủ do bạn chọn và quản lý. ParkViet không giữ dữ liệu của bạn ở máy chủ của chúng tôi. Bạn có toàn quyền sao lưu, xuất dữ liệu và chuyển sang nơi khác bất cứ lúc nào.
ParkViet có an toàn không?
ParkViet kế thừa các lớp bảo vệ của nền tảng mã nguồn mở bên dưới: chống SQL injection, CSRF, XSS, không lưu số thẻ, mã hoá dữ liệu nhạy cảm. ParkViet bổ sung quét bảo mật tự động trong CI, test phân quyền cho mọi API tiền và kho, xác minh chữ ký webhook thanh toán. ParkViet chưa có chứng nhận bảo mật riêng và chưa qua kiểm thử xâm nhập độc lập; việc này nằm trong lộ trình. Vì là phần mềm tự cài, mức an toàn thực tế còn phụ thuộc vào cách bạn vận hành máy chủ.
Bán hàng không lo phí thuê bao, bắt đầu ngay hôm nay
Cài miễn phí trên máy chủ của bạn. Dữ liệu là của bạn, mãi mãi.