Luồng dữ liệu đánh giá
Mỗi lần đánh giá có kiểm soát bắt đầu bằng việc tạo định danh lần chạy (run) và lần thử (attempt) trong cơ sở dữ liệu. Các tệp sinh ra trong quá trình có dung lượng lớn được dự kiến lưu vào kho lưu trữ đối tượng riêng tư, còn PostgreSQL lưu trạng thái, kết quả rút gọn, dữ kiện công bố, bản ghi kiểm toán và siêu dữ liệu manifest của các tệp này.
Yêu cầu, phản hồi, trace, nhật ký, ảnh chụp màn hình và tệp đính kèm gốc không phải là dữ liệu của danh mục công khai. Các trang công khai chỉ đọc những bản snapshot đã được xét duyệt, che thông tin nhạy cảm và đánh phiên bản.
Thông tin xác thực và mục tiêu kiểm tra
Thông tin xác thực của trạm trung chuyển phải được lưu dưới dạng tham chiếu bí mật được bảo vệ và chỉ được cung cấp cho các tiến trình máy chủ hoặc worker đã được ủy quyền. Trình duyệt không nhận thông tin bí mật của trạm trung chuyển, thông tin xác thực PostgreSQL hay thông tin xác thực kho lưu trữ đối tượng.
Mục tiêu đánh giá chịu các giới hạn về giao thức, cổng, DNS, chuyển hướng, kích thước phản hồi, thời gian chờ và mạng riêng. Folkbench không được trở thành một proxy mạng tùy ý.
Tài khoản và phiên đăng nhập
Khi tính năng được bật, sau khi nhà cung cấp danh tính đã cấu hình hoàn tất quy trình, người dùng sẽ nhận một phiên đăng nhập do Folkbench cấp. Cookie phiên do máy chủ cấp và được bảo vệ; access token của nhà cung cấp danh tính không được lưu làm thông tin xác thực của ứng dụng. Vai trò chủ trạm và vai trò vận hành được tách biệt khỏi việc xác thực danh tính thông thường.
Phân tích tùy chọn
Theo mặc định, Folkbench bật tính năng phân tích sản phẩm của chính chúng tôi trong phạm vi giới hạn để hiểu cách các tính năng được sử dụng, chẩn đoán sự cố và cải thiện dịch vụ; tính năng này không được dùng để lập hồ sơ người dùng trên nhiều trang web hay nhiều nền tảng. Lược đồ sự kiện không bao gồm nội dung tìm kiếm, email, URL đầy đủ, địa chỉ IP, ghi lại phiên (session replay) hay tự động ghi nhận lượt nhấp. Nếu bật gửi dữ liệu ra bên ngoài, chính các trường này có thể được gửi tới PostHog US Cloud.
Ranh giới với nhà cung cấp dịch vụ
Folkbench có thể sử dụng dịch vụ hosting, PostgreSQL được quản lý, kho lưu trữ đối tượng riêng tư, nhà cung cấp danh tính, dịch vụ phân tích, email và – chỉ khi được bật riêng – nhà cung cấp dịch vụ thanh toán. Mỗi nhà cung cấp chỉ nhận thông tin cần thiết cho chức năng của mình và vẫn chịu sự điều chỉnh của điều khoản cũng như trách nhiệm bảo mật riêng của họ. Các trang công khai cũng tải thẻ Google Ads AW-18459159949 để đo lường lượt truy cập và chuyển đổi từ quảng cáo.
Báo cáo vấn đề bảo mật
Hãy dùng trang liên hệ và ghi rõ tiêu đề là “Folkbench security report”. Kèm theo mô tả ngắn gọn về mức độ ảnh hưởng và các bước tái hiện an toàn. Không gửi mật khẩu, khóa API, bằng chứng riêng tư gốc, dữ liệu cá nhân hoặc payload khai thác có thể sử dụng ngay qua email.