ความปลอดภัยของระบบ

• ระบบทำงานบนเครื่องแม่ข่ายของ Amazon Web Services ในภูมิภาคประเทศไทย ดิสก์ของเครื่องถูกเข้ารหัส
• เครื่องเปิดรับการเชื่อมต่อจากอินเทอร์เน็ตเฉพาะพอร์ตของเว็บ (80 และ 443) ไม่เปิดพอร์ต SSH การดูแลเครื่องทำผ่าน AWS Systems Manager
• ฐานข้อมูลอยู่ในเครือข่ายภายในของเครื่อง ไม่เปิดให้เชื่อมต่อจากอินเทอร์เน็ต

• ทุกหน้าใช้ HTTPS ใบรับรองออกโดย Let's Encrypt และต่ออายุอัตโนมัติ คำขอแบบ HTTP ถูกพาไป HTTPS
• เซิร์ฟเวอร์ส่ง header Strict-Transport-Security อายุ 1 ปี เบราว์เซอร์จึงใช้ HTTPS กับโดเมนนี้เสมอ

• ไม่มีรหัสผ่านให้รั่วหรือถูกเดา เข้าสู่ระบบด้วยรหัส 6 หลักทางอีเมล ใช้ได้ 10 นาทีและใช้ได้ครั้งเดียว
• ระบบเก็บเฉพาะค่าแฮชของรหัสที่ผูกกับอีเมล ไม่เก็บตัวรหัส
• ลองผิดได้ไม่เกิน 5 ครั้ง ขอรหัสได้ไม่เกิน 3 ครั้งต่ออีเมลใน 30 นาที และมีเพดานความถี่ต่อที่อยู่ IP
• เซสชันเก็บในคุกกี้ที่ลงลายเซ็น สคริปต์ในหน้าเว็บอ่านไม่ได้ และหมดอายุใน 7 วัน

• ทุกหน้าและทุกปลายทางของ API ตรวจตัวตนและสิทธิ์ของผู้เรียกเอง ไม่พึ่งการซ่อนปุ่มบนหน้าจอ
• สิทธิ์ของทีมแบ่งตามบทบาท (เจ้าของ ผู้จัดการ เจ้าหน้าที่เช็คอิน ช่างภาพ) และจำกัดเจ้าหน้าที่เช็คอินกับช่างภาพให้เห็นเฉพาะบางงานได้
• คนที่ไม่มีสิทธิ์ได้หน้าไม่พบ เหมือนกับกรณีที่ไม่มีข้อมูลนั้นอยู่ ระบบจึงไม่บอกคนนอกว่าแบรนด์หรืองานใดมีอยู่
• คำเชิญเข้าทีมจับคู่กับอีเมลที่ยืนยันแล้วของผู้รับ ไม่มีลิงก์เชิญที่ใครได้ไปก็ใช้ได้
• ชุดทดสอบอัตโนมัติมีข้อทดสอบการเข้าถึงข้ามแบรนด์สำหรับเส้นทางที่แตะข้อมูลของแบรนด์

• รหัสตั๋วสุ่มจากตัวสร้างเลขสุ่มสำหรับงานเข้ารหัส และ QR บนตั๋วมีลายเซ็นที่เซิร์ฟเวอร์ตรวจ ตั๋วที่แก้ไขหรือสร้างเองจึงใช้ไม่ได้
• การเช็คอินตัดสินที่เซิร์ฟเวอร์ ตั๋วหนึ่งใบผ่านได้ครั้งเดียว ครั้งถัดไปจอแสดงว่าใครสแกนไปก่อนและเมื่อไร
• ที่นั่งถูกล็อกในฐานข้อมูลตอนจอง คำขอที่มาพร้อมกันจึงขายเกินจำนวนที่นั่งไม่ได้

• ไฟล์ทุกไฟล์เป็นของส่วนตัว ไม่มีลิงก์สาธารณะไปที่เก็บไฟล์ การดาวน์โหลดผ่านเส้นทางที่ตรวจสิทธิ์ก่อนเสมอ
• ชนิดไฟล์ตรวจจากเนื้อไฟล์ ไม่เชื่อนามสกุลหรือชนิดที่ผู้ส่งแจ้ง
• รูปภาพถูกถอดรหัสแล้วเข้ารหัสใหม่ก่อนเก็บ ข้อมูลแฝงในไฟล์ต้นฉบับ เช่น พิกัดสถานที่ถ่าย จึงไม่ถูกเก็บ
• มีเพดานขนาดต่อไฟล์และโควตาต่อแบรนด์ กันบัญชีเดียวใช้พื้นที่ของทั้งระบบ

• ห้ามฝังหน้าของระบบในเฟรมของเว็บอื่น เพื่อกันการหลอกให้กดปุ่ม
• ปลายทางที่แก้ข้อมูลตรวจต้นทางของคำขอ เพื่อกันคำขอปลอมจากเว็บอื่น
• ลิงก์ที่ผู้จัดงานกรอกรับเฉพาะ http และ https
• เบราว์เซอร์ได้รับอนุญาตให้ใช้กล้องเฉพาะกับหน้าของระบบเอง ระบบไม่ขอใช้ไมโครโฟนและตำแหน่ง
• ระบบไม่โหลดสคริปต์ติดตามหรือสคริปต์โฆษณาจากบุคคลที่สาม

• ระบบไม่รับ ไม่ถือ และไม่ส่งต่อเงิน และไม่เก็บข้อมูลบัตรเครดิตหรือบัญชีธนาคารของผู้ซื้อ การโอนเกิดขึ้นในแอปธนาคารของผู้ซื้อ
• แบรนด์ขายบัตรที่มีราคาได้หลังผู้ให้บริการยืนยันบัญชีรับเงินแล้วเท่านั้น และการเปลี่ยนบัญชีรับเงินยกเลิกการยืนยันทันที

• ฐานข้อมูลถูกสำรองทุกคืนไปยังที่เก็บข้อมูลส่วนตัวของ AWS ที่เข้ารหัสและปิดการเข้าถึงสาธารณะ แต่ละชุดเก็บไว้ 30 วัน

• การค้นรูปด้วยใบหน้าปิดเป็นค่าเริ่มต้น ต้องได้รับความยินยอมแยกต่างหากจากคนที่ค้น และข้อมูลใบหน้าของงานถูกลบภายใน 60 วันหลังงานจบ รายละเอียดอยู่ในนโยบายความเป็นส่วนตัว

ข้อจำกัดเหล่านี้เป็นจริงในวันที่ปรับปรุงล่าสุด

• ยังไม่มีการตรวจสอบความปลอดภัยหรือการทดสอบเจาะระบบโดยบุคคลภายนอก และยังไม่มีใบรับรองมาตรฐานความปลอดภัย
• ระบบทำงานบนเครื่องแม่ข่ายเครื่องเดียว ไม่มีเครื่องสำรองที่รับช่วงแทนอัตโนมัติ และไม่มีการรับประกันระดับความพร้อมใช้งาน
• ยังไม่มีการลบข้อมูลอัตโนมัติตามเวลาสำหรับออร์เดอร์ ตั๋ว และรูปสลิป

ถ้าคุณพบช่องโหว่หรือพฤติกรรมที่น่าจะกระทบความปลอดภัยของข้อมูล กรุณาแจ้งผู้ให้บริการตามช่องทางที่แสดงด้านบนของหน้านี้ พร้อมขั้นตอนที่ทำให้เกิดซ้ำได้ และกรุณาอย่าเข้าถึงข้อมูลของผู้อื่นเกินกว่าที่จำเป็นต่อการยืนยันปัญหา