01Cách chúng tôi bảo vệ tài khoản
- Không có đăng ký công khai: tài khoản chỉ do IQC cấp cho người được nhà máy khách hàng chỉ định, và có thể bị khóa ngay khi cần.
- Mật khẩu: băm bằng PBKDF2-SHA256 (100.000 vòng) với muối ngẫu nhiên riêng cho từng tài khoản. Chúng tôi không lưu mật khẩu gốc.
- Phiên đăng nhập: mã phiên ngẫu nhiên 256 bit, chỉ lưu dạng băm trên máy chủ, gửi qua cookie HttpOnly, Secure, SameSite=Lax. Đổi mật khẩu sẽ đăng xuất mọi thiết bị khác.
- Chống dò mật khẩu: giới hạn số lần đăng nhập sai theo tài khoản và theo địa chỉ IP; phản hồi như nhau dù email có tồn tại hay không.
- Kết nối: chỉ qua HTTPS (HSTS), kèm chính sách bảo mật nội dung (CSP) và các header bảo vệ trình duyệt.
- Hạ tầng: chạy trên Cloudflare, có lớp chống tấn công từ chối dịch vụ.
02Bạn có thể làm gì
- Dùng mật khẩu riêng cho IQC, dài tối thiểu 10 ký tự, và không dùng lại ở nơi khác.
- Không chia sẻ tài khoản. Mỗi người dùng nên có tài khoản riêng.
- Đăng xuất khi dùng máy tính chung, và không chọn “Ghi nhớ đăng nhập” trên máy đó.
- IQC không bao giờ hỏi mật khẩu của bạn qua email, điện thoại hay tin nhắn. Nếu nhận được yêu cầu như vậy, hãy báo cho chúng tôi.
03Báo lỗ hổng bảo mật
Nếu bạn phát hiện lỗ hổng, xin gửi email tới hello@iqc.xyz với tiêu đề bắt đầu bằng “[Security]”, kèm mô tả, các bước tái hiện và mức độ ảnh hưởng bạn đánh giá. Chúng tôi sẽ xác nhận đã nhận trong vòng 5 ngày làm việc và thông báo cho bạn khi lỗi được khắc phục.
Khi kiểm tra, xin:
- chỉ dùng tài khoản của chính bạn, không truy cập, sửa hay xóa dữ liệu của người khác;
- không tấn công từ chối dịch vụ, không gửi thư rác, không lừa đảo nhân viên hay khách hàng của IQC;
- không công bố lỗ hổng trước khi chúng tôi có thời gian hợp lý để khắc phục.
Chúng tôi sẽ không khởi kiện hay yêu cầu xử lý những nghiên cứu được thực hiện thiện chí và tuân thủ các hướng dẫn trên. Thông tin liên hệ dạng máy đọc được có tại /.well-known/security.txt.
01How we protect accounts
- No public sign-up: accounts are issued by IQC only to people nominated by a customer factory, and can be disabled at once when needed.
- Passwords: hashed with PBKDF2-SHA256 (100,000 iterations) and a unique random salt per account. We never store the original password.
- Sessions: random 256-bit session identifiers, stored only as hashes on the server and sent in HttpOnly, Secure, SameSite=Lax cookies. Changing your password signs out all other devices.
- Password guessing: failed sign-ins are rate limited per account and per IP address, and the response is the same whether or not an email exists.
- Connections: HTTPS only (HSTS), with a Content Security Policy and other browser protection headers.
- Infrastructure: runs on Cloudflare, with denial-of-service protection.
02What you can do
- Use a unique password for IQC, at least 10 characters long, that you don’t reuse elsewhere.
- Don’t share accounts. Each user should have their own.
- Sign out on shared computers, and don’t choose “Keep me signed in” on them.
- IQC will never ask for your password by email, phone or chat. If you get such a request, please tell us.
03Reporting a vulnerability
If you find a vulnerability, please email hello@iqc.xyz with a subject starting “[Security]”, including a description, steps to reproduce and the impact you expect. We will acknowledge your report within 5 business days and let you know when it is fixed.
While testing, please:
- use only your own account, and do not access, change or delete anyone else’s data;
- do not run denial-of-service attacks, send spam or social-engineer IQC staff or customers;
- do not disclose the issue publicly before we have had a reasonable time to fix it.
We will not take legal action against research carried out in good faith that follows these guidelines. Machine-readable contact details are at /.well-known/security.txt.