सुरक्षा
LPIC.cc ने पहले ही दिन से सुरक्षा और गोपनीयता को एक मुख्य डिज़ाइन सिद्धांत माना है — बाद में जोड़ी गई कोई चीज़ नहीं। नीचे उन उपायों का अवलोकन है जो production में लगातार चल रहे हैं।
मुख्य सुरक्षा उपाय
हर जगह HTTPS एन्क्रिप्शन
हर कनेक्शन को HTTPS (TLS 1.2 या उच्चतर) पर मजबूर किया जाता है, और लंबे समय तक चलने वाला HSTS सक्रिय है, जिससे ब्राउज़र किसी भी plaintext कनेक्शन को स्वीकार नहीं करता। ट्रैफ़िक एंड-टू-एंड एन्क्रिप्टेड रहता है और बीच में कोई attacker उसे पढ़ या बदल नहीं सकता।
bcrypt पासवर्ड हैशिंग
उपयोगकर्ता द्वारा सेट किए गए शेयर पासवर्ड को उद्योग-मानक bcrypt one-way hash के रूप में संग्रहीत किया जाता है — हमारे server भी उन्हें रिवर्स नहीं कर सकते। plaintext पासवर्ड हमारे किसी भी system में कभी मौजूद नहीं होते।
फ़ाइलों की स्वचालित समाप्ति
अपलोड की गई फ़ाइलें अंतिम बार देखने के 30 दिन बाद तक ही रखी जाती हैं। उसके बाद शेयर लिंक तुरंत अमान्य हो जाता है और फ़ाइल डिलीट कतार में चली जाती है — कोई मैनुअल सफाई नहीं, और expired फ़ाइलें किसी के लिए भी accessible नहीं रहतीं।
अल्पकालिक presigned अपलोड URL
अपलोड के समय server एक अल्पकालिक presigned URL जारी करता है ताकि ब्राउज़र सीधे cloud object storage पर फ़ाइल भेज सके। URL जल्दी समाप्त हो जाता है और दोबारा उपयोग नहीं किया जा सकता, जिससे अनधिकृत अपलोड रुक जाते हैं।
सख्त Content Security Policy
डिफ़ॉल्ट नीति हर बाहरी संसाधन को रोकती है और केवल आवश्यक origin को अनुमति देती है। X-Frame-Options और Referrer-Policy headers के साथ मिलकर यह XSS, clickjacking और referrer leak का हमला क्षेत्र घटाती है।
बहु-स्तरीय rate limiting
login, upload और password verification जैसे संवेदनशील endpoints को rate limiting से सुरक्षित किया गया है, जो अनियमित व्यवहार का पता चलते ही cool down कर देता है। यह brute-force और automation को रोकता है और असली उपयोगकर्ताओं पर असर नहीं पड़ता।
Turnstile के साथ बिना-घर्षण bot सुरक्षा
मुख्य forms को Cloudflare Turnstile से सुरक्षित किया गया है, जो device और व्यवहार संकेतों के आधार पर background में इंसान और bot को अलग पहचानता है — कोई image puzzle नहीं, कोई परेशानी नहीं।
Masked IP logging
पूर्ण IP address कभी सहेजा नहीं जाता। analytics या security logs में लिखने से पहले IP को mask कर दिया जाता है (जैसे 1.2.3.***); कच्चे IP केवल कुछ क्षण के लिए memory में रहते हैं ताकि वास्तविक समय में रक्षा निर्णय लिया जा सके, और फिर तुरंत हटा दिए जाते हैं, जिससे logs लीक होने पर नुकसान सीमित रहता है।
अतिरिक्त सुरक्षा उपाय
| उपाय | विवरण |
|---|---|
| Parameterized queries | सभी database queries parameterized binding का उपयोग करती हैं, जिससे SQL Injection वर्ग के हमले जड़ से समाप्त हो जाते हैं। |
| Input validation | API endpoints schema validation (required, min, max, email आदि) लागू करते हैं। गलत input business logic तक पहुँचने से पहले ही अस्वीकार कर दिया जाता है। |
| CSRF सुरक्षा | state बदलने वाले सभी requests को स्वतंत्र CSRF Token की आवश्यकता होती है, और Cookies पर HttpOnly + Secure + SameSite=Strict सेट है, जिससे cross-site forgery स्रोत पर ही रुक जाती है। |
| सख्त CORS नीति | केवल आधिकारिक origin को ही API को कॉल करने की अनुमति है; अनधिकृत cross-origin calls को अस्वीकार कर दिया जाता है। |
| Cloudflare DDoS सुरक्षा | Edge nodes असामान्य traffic को स्वतः पहचान कर origin servers तक पहुँचने से पहले ही रोक देते हैं। |
| संवेदनशील fields की masked logging | Logging framework IP, Token और password जैसी संवेदनशील fields को डिफ़ॉल्ट रूप से mask करता है — यदि logs कभी लीक हो भी जाएँ, तो संवेदनशील मूल्य उसमें नहीं जाते। |
जिम्मेदार खुलासा
अगर आपको LPIC.cc में कोई सुरक्षा कमज़ोरी मिले, तो कृपया [email protected] पर निजी रूप से रिपोर्ट करें। हम वादा करते हैं:
- आपकी रिपोर्ट की पुष्टि 48 घंटे के भीतर करेंगे।
- सद्भावपूर्ण सुरक्षा शोधकर्ताओं के विरुद्ध कोई कानूनी कार्रवाई नहीं करेंगे।
- यदि आप चाहें, तो पैच जारी होने के बाद इस पेज पर सार्वजनिक आभार प्रकाशित करेंगे।
अन्य उपयोगकर्ताओं की सुरक्षा के लिए, कृपया production पर automated scans या load tests न चलाएँ।
अंतिम अपडेट: 21 अप्रैल 2026