安全與漏洞報告

我們如何保護數據

• 商戶不接觸銀行卡信息。 買家在託管收銀台中錄入，絕不會提供給商戶；商戶也不得將卡信息發送給我們。
• 密鑰加密存儲。 API Key、Webhook 密鑰、銀行賬號和證件號碼均加密保存；API Key 通過指紋查找，只在簽發時完整顯示一次。
• 沙箱與正式環境隔離。 測試與正式環境的密鑰、賬本和數據互不混用，環境由密鑰決定，而不是由請求字段決定。
• 每個請求都經過認證和限流。 按商戶限流、可選 IP 白名單，每個響應都帶有 X-Request-Id。
• Webhook 帶簽名。 使用 HMAC-SHA256 簽名；輪換密鑰時舊密鑰繼續有效 24 小時，不會丟失投遞。
• 按角色限制訪問。 商戶團隊和我們自己的運營人員都按角色授權。運營人員對商戶賬戶的操作會記入不可修改的審計記錄。
• 上傳文件私有存儲。 審核材料和爭議證據存放在私有存儲中，只有該商戶的成員和經授權的運營人員可以讀取。

報告漏洞

如果你認為發現了 KukoPay 的安全問題，請發送郵件至 [email protected]，主題註明 "Security"，並附上受影響的網址或接口、復現步驟和觀察到的影響。機器可讀的聯繫方式見 /.well-known/security.txt。

我們爭取在 3 個工作日內確認收到，並在問題解決前持續告知進展。

測試規則

• 只針對你自己的賬戶測試，儘量使用沙箱。
• 不得訪問、修改或刪除不屬於你的數據；一旦看到他人數據，立即停止並報告。
• 不得進行拒絕服務、垃圾請求、社會工程或物理攻擊，不得測試支付合作夥伴的系統。
• 不得使用真實或盜取的卡信息。
• 公開披露前，給我們合理的修復時間。

對於善意且遵守上述規則的研究，我們不會追究法律責任。