Bảo mật & PCI
Hướng dẫn tự đánh giá bảo mật cho shop tích hợp thanh toán. Thông tin đăng nhập ngân hàng được mã hóa AES-256-GCM trong vault — không chia sẻ với bên thứ ba.
- Khóa API chỉ lưu phía server — không đưa vào app client hoặc git.
- Đổi mã bảo mật thông báo định kỳ; luôn xác minh chữ ký trên mọi request.
- Giới hạn IP trên khóa chính thức khi server có IP cố định.
- Tên miền thông báo riêng: xác minh DNS TXT trước khi dùng chính thức.
- Kiểm tra chữ ký thử trước chạy thật (
POST /api/v1/webhooks/dry-run). - URL nhận thông báo phải dùng TLS 1.2 trở lên.
- Lưu nhật ký: hoạt động 90 ngày, lịch sử gửi thông báo 90 ngày.
- Không lưu số thẻ/CVV — chỉ metadata chuyển khoản ngân hàng.
- StaliPay Direct: session ngân hàng chỉ dùng cho đồng bộ giao dịch của shop trên StaliPay.
- Xem thêm chính sách bảo mật · hướng dẫn shop.
Trợ lý tự đánh giá bảo mật
0%
- Khóa API chỉ lưu phía máy chủ — không đưa vào git hoặc ứng dụng client?
- Mọi thông báo thanh toán đều xác minh chữ ký (timestamp + body) trước khi xử lý?
- Khóa chính thức có danh sách IP cho phép khi backend có IP cố định?
- Tên miền thông báo riêng đã xác minh DNS TXT (nếu dùng)?
- Đã chạy thử chữ ký / gửi test thông báo trước chạy thật?
- URL nhận thông báo dùng TLS 1.2 trở lên?
- Đã nắm chính sách lưu nhật ký audit và lần gửi trong 90 ngày?
- Không lưu số thẻ/CVV — chỉ metadata chuyển khoản ngân hàng?
- Theo dõi hạn mức giao dịch/thông báo trên trang điều khiển?
- Có quy trình báo sự cố khi nghi ngờ khóa bị lộ?
Đăng nhập trang điều khiển để lưu kết quả. Xuất PDF dùng báo cáo nội bộ — không thay thế đánh giá PCI DSS chính thức.