ورود و رمز عبور
- رمز عبور با الگوریتم Argon2id و نمک تصادفی درهم‌سازی می‌شود و خود رمز هیچ‌جا نگهداری نمی‌شود.
- ورود با ایمیل، پس از رمز عبور، یک کد شش‌رقمی می‌خواهد که به همان ایمیل فرستاده می‌شود. این کد ده دقیقه اعتبار دارد، یک بار کار می‌کند و از آن فقط امضای HMAC نگهداری می‌شود.
- ورود دومرحله‌ای با برنامه‌های تولید رمز یک‌بارمصرف، مانند Google Authenticator، در تنظیمات امنیت حساب در دسترس است و همراه آن کدهای بازیابی برای روزی که گوشی در دسترس نیست داده می‌شود.
- تعداد درخواست‌ها برای هر نشانی IP محدود است: ورود، ثبت‌نام و بازیابی رمز تا ۱۰ بار در دقیقه، کد ایمیلی تا ۳۰ بار در ۱۰ دقیقه و فرم تماس تا ۵ بار در ساعت.
- بازیابی رمز از راه ایمیل، همه‌ی نشست‌های حساب را می‌بندد. اگر رمز را در تنظیمات عوض می‌کنید چون به نشستی شک دارید، پس از آن «خروج از همه‌ی دستگاه‌ها» را هم بزنید.
نشست‌ها
- هر دسترسی به سرور ۱۵ دقیقه اعتبار دارد و پس از آن با کوکی نشست تازه می‌شود.
- کوکی نشست برای اسکریپت‌های صفحه خواندنی نیست، فقط روی HTTPS فرستاده می‌شود و از فرم‌های سایت‌های دیگر همراه درخواست نمی‌رود. با هر تازه‌شدن، کوکی تازه‌ای جای آن را می‌گیرد و سرور فقط درهم‌سازی‌شده‌ی آن را نگه می‌دارد. نشستی که ۳۰ روز استفاده نشود تمام می‌شود.
- در تنظیمات امنیت حساب، نشست‌های فعال را با IP، دستگاه و زمان آخرین استفاده می‌بینید و هر کدام را می‌بندید. «خروج از همه‌ی دستگاه‌ها» همه را با هم می‌بندد.
- رویدادهای امنیتی حساب، مانند ورود موفق و ناموفق، با IP و مشخصات مرورگر برای خودتان نمایش داده می‌شود.
جداسازی کسب‌وکارها
- هر درخواست به داده‌ی یک کسب‌وکار پیش از اجرا بررسی می‌شود که درخواست‌دهنده عضو همان کسب‌وکار باشد. برای کسی که عضو نیست، کسب‌وکار وجود ندارد.
- تغییرات حساس هر کسب‌وکار در دفتر ممیزی ثبت می‌شود: چه کسی، کی، از کدام IP، و مقدار پیش و پس از تغییر.
دسترسی پشتیبانی و مدیران
- کارکنان پشتیبانی دفاتر یک کسب‌وکار را فقط با دسترسی موقت می‌بینند: برای یک کسب‌وکار، با دلیل نوشته‌شده‌ی دست‌کم ۱۰ نویسه، به مدت ۱ تا ۲۴ ساعت. باز شدن و بسته شدن هر دسترسی در دفتر ممیزی ثبت می‌شود.
- کارهای حساس مدیریتی، مانند بازنشانی رمز یک کاربر یا آزاد کردن رایانه‌ی نسخه‌ی نصبی یک کسب‌وکار، دوباره هویت مدیر را می‌پرسند.
فایل‌ها و پیوست‌ها
- نوع هر فایل از محتوای خودش شناخته می‌شود، نه از نام یا ادعای مرورگر. فقط تصویر JPG، PNG، WebP و GIF، و برای پیوست اسناد PDF، پذیرفته می‌شود.
- هر تصویر دوباره به WebP ساخته می‌شود. این کار اطلاعات پنهان آن، از جمله موقعیت مکانی عکس‌های گوشی را پاک می‌کند و فقط تصویری را می‌پذیرد که واقعاً باز شود.
- حجم تصویر تا ۵ مگابایت، تصویر مقاله تا ۸ مگابایت و پیوست سند تا ۱۰ مگابایت است.
- پیوست‌های اسناد، فاکتورها، چک‌ها و دریافت و پرداخت‌ها عمومی نیستند و فقط برای اعضای همان کسب‌وکار و از راه همان سند باز می‌شوند.
پرداخت
پرداخت در درگاه زرین‌پال انجام می‌شود و اطلاعات کارت به مالیکس نمی‌رسد. هر پرداخت پیش از فعال‌شدن اشتراک، مستقیم از زرین‌پال تأیید می‌شود. از کارت فقط شماره‌ی پوشیده‌ای که درگاه برمی‌گرداند نگه داشته می‌شود.
ارتباط، انتشار و پشتیبان‌گیری
- همه‌ی ارتباط‌ها روی HTTPS است و مرورگر با HSTS می‌آموزد که این دامنه را فقط با HTTPS باز کند.
- هر نسخه‌ی تازه پیش از انتشار تست‌های خودکار را می‌گذراند و وابستگی‌ها و ایمیج‌هایش برای آسیب‌پذیری‌های شناخته‌شده بررسی می‌شوند. نسخه‌ای که آسیب‌پذیری بحرانی رفع‌شدنی داشته باشد منتشر نمی‌شود.
- پیش از هر به‌روزرسانی از داده‌ها نسخه‌ی پشتیبان کامل گرفته می‌شود و اگر نسخه‌ی تازه سالم کار نکند، سرویس خودکار به نسخه‌ی سالم پیشین برمی‌گردد.
نسخه‌ی نصبی و امضای صورتحساب
- نسخه‌ی نصبی هر کسب‌وکار فقط روی یک رایانه کار می‌کند و آزاد کردن آن رایانه برای رایانه‌ی دیگر فقط از سوی پشتیبانی و با ثبت دلیل انجام می‌شود.
- نرم‌افزار امضای صورتحساب فقط روی نشانی 127.0.0.1 همان رایانه گوش می‌دهد و از شبکه دیده نمی‌شود، فقط به درخواست صفحه‌های مالیکس پاسخ می‌دهد و متن صورتحساب، امضا یا رمز را در گزارش‌هایش نمی‌نویسد. کلید خصوصی روی همان رایانه یا توکن سخت‌افزاری می‌ماند و فقط امضا از آن بیرون می‌آید.
سهم شما در امنیت
- رمزی بلند و ویژه‌ی مالیکس بگذارید و ورود دومرحله‌ای را روشن کنید.
- حساب خود را با دیگران در میان نگذارید.
- نشست‌های فعال را گاه‌به‌گاه ببینید و نشستی را که نمی‌شناسید ببندید. روی رایانه‌ی مشترک، پس از کار خارج شوید.
- پیش از وارد کردن رمز، مطمئن شوید نشانی صفحه maalix.ir است.
- رایانه‌ای را که نسخه‌ی نصبی یا نرم‌افزار امضا روی آن است با رمز ویندوز و به‌روزرسانی‌های آن امن نگه دارید.
- مالیکس هرگز رمز عبور یا کد ورود شما را از راه تلفن، پیامک یا ایمیل نمی‌پرسد. اگر کسی به نام مالیکس آن را خواست، به ما خبر دهید.
گزارش آسیب‌پذیری
اگر آسیب‌پذیری‌ای در مالیکس پیدا کرده‌اید، آن را با ایمیل، با موضوع «گزارش امنیتی»، یا با تیکت پشتیبانی بفرستید. نشانی صفحه، گام‌های بازسازی و اثری را که دیده‌اید بنویسید. همین اطلاعات در نشانی /.well-known/security.txt هم هست.
برای پژوهش امنیتی این قواعد را رعایت کنید:
- فقط روی حساب و کسب‌وکار خودتان آزمایش کنید. به داده‌ی دیگران دسترسی پیدا نکنید، آن را تغییر ندهید و اگر ناخواسته دیدید، نگهش ندارید.
- سرویس را از کار نیندازید، درخواست انبوه نفرستید و سراغ کاربران یا کارکنان مالیکس نروید.
- تا رفع آسیب‌پذیری، آن را عمومی نکنید.
دریافت گزارش را تأیید می‌کنیم، از روند رفع آن خبرتان می‌کنیم و جزئیات را محرمانه نگه می‌داریم. پژوهشی را که با این قواعد انجام شود، تخلف از شرایط استفاده نمی‌دانیم.