ความปลอดภัย

ความปลอดภัยและการควบคุม

เซ็นตั้งแต่ขาเข้า บันทึกตลอดทาง

ไม่มีข้อไหนเป็นตราประทับท้ายเว็บ ทุกข้อข้างล่างคือการตรวจที่รันอยู่ในโค้ดจริงกับคำขอที่มาถึงเราแล้ว

ทุกคำขอมี X-Signature ที่คำนวณจาก secret ของร้านค้า และเทียบแบบ constant-time

X-Timestamp เป็นค่าบังคับ และลายเซ็นเก่าถูกปฏิเสธ คำขอที่ถูกดักไว้จึงเอามายิงซ้ำทีหลังไม่ได้

X-API-Key บอกว่าใครเป็นคนเรียก แยกคนละส่วนกับ secret ที่ใช้เซ็น

กำหนดว่าเลข IP ใดทำการแทนบัญชีนั้นได้ — ใช้ทั้งกับ API ของร้านค้าและกับหน้าพอร์ทัล

กำหนดบทบาทแยกตามองค์กร ตั้งสิทธิ์เมนูและสิทธิ์เพิ่ม/อ่าน/แก้/ลบ แยกจากกันได้

การเข้าสู่ระบบ การเปลี่ยนสิทธิ์ และการกระทำสำคัญถูกบันทึกแยกจากบัญชีเดินสะพัดของเงิน

บางส่วนเปิดเฉพาะชั้น company โทเคนของ partner agent หรือ merchant เข้าไม่ถึง — บังคับที่ฝั่งเซิร์ฟเวอร์ ไม่ใช่แค่ซ่อนเมนู

จำกัดจำนวนครั้งที่พยายามเข้าสู่ระบบ เพิกถอน session ได้ และเก็บประวัติการเข้าใช้

ใช้งานได้บนพอร์ทัลสำหรับการตรวจสอบเพิ่มตอนเข้าสู่ระบบ

ยืนยันกับธนาคารจริง และเก็บ hash ไว้กันสลิปใบเดิมถูกใช้ซ้ำ ไม่ใช่ OCR

ผู้ให้บริการรายหนึ่งหยุด แต่รายการไม่หยุด

เกตเวย์ที่วิ่งช่องทางเดียวจะล่มพร้อมช่องทางนั้นเสมอ AdeePay ให้คะแนนช่องทางที่มีอยู่ต่อเนื่องแล้วเลี่ยงตัวที่กำลังมีปัญหา

3 ชั้นยืนยันผลที่เป็นอิสระต่อกัน ทำให้สถานะการชำระเงินถึงคุณแน่นอน แม้ webhook จะพลาด

ส่งและส่งซ้ำจนกว่า server คุณจะตอบ HTTP 200

อ่านรายการรับเงินด้วย id เมื่อไหร่ก็ได้ — สถานะที่เก็บไว้คือตัวจริงเสมอ

สลิปของลูกค้าเป็นเส้นทางที่สามที่ไม่ผ่านเซิร์ฟเวอร์ของคุณเลย