Bảo mật
Ngay từ ngày đầu, LPIC.cc đã coi bảo mật và quyền riêng tư là nguyên tắc thiết kế cốt lõi, không phải là thứ vá víu về sau. Dưới đây là tổng quan các biện pháp đang vận hành liên tục trên môi trường production.
Các biện pháp bảo mật cốt lõi
Mã hóa HTTPS toàn trang
Mọi kết nối đều bị bắt buộc sử dụng HTTPS (TLS 1.2 trở lên) và kích hoạt HSTS dài hạn, khiến trình duyệt từ chối mọi kết nối không mã hóa. Dữ liệu được mã hóa đầu cuối, kẻ tấn công trên đường truyền không thể đọc hoặc chỉnh sửa.
Băm mật khẩu bằng bcrypt
Mật khẩu chia sẻ do người dùng đặt được lưu dưới dạng băm một chiều bcrypt theo chuẩn công nghiệp — ngay cả máy chủ của chúng tôi cũng không thể khôi phục. Mật khẩu dạng plaintext không tồn tại ở bất kỳ hệ thống nào.
Tự động hết hạn tệp
Tệp đã tải lên được giữ trong 30 ngày kể từ lần xem cuối. Hết hạn, liên kết chia sẻ lập tức vô hiệu và tệp được đưa vào hàng đợi xóa — bạn không cần dọn dẹp thủ công, và không ai có thể truy cập tệp đã hết hạn.
URL tải lên có ký số, hiệu lực ngắn
Khi upload, máy chủ cấp một URL đã ký với thời hạn ngắn để trình duyệt đẩy tệp thẳng lên kho lưu trữ object trên cloud. URL nhanh chóng hết hạn và không thể tái sử dụng, ngăn chặn upload trái phép.
Content Security Policy nghiêm ngặt
Chính sách mặc định chặn mọi tài nguyên bên ngoài, chỉ cho phép những origin tối thiểu cần thiết. Kết hợp với header X-Frame-Options và Referrer-Policy, chúng tôi thu hẹp bề mặt tấn công XSS, clickjacking và rò rỉ referrer.
Giới hạn tần suất nhiều lớp
Các endpoint nhạy cảm như đăng nhập, upload và xác thực mật khẩu đều được bảo vệ bằng rate limiting, tự động hạ nhiệt ngay khi phát hiện hành vi bất thường. Nó chặn brute-force và bot mà không ảnh hưởng đến người dùng hợp pháp.
Phòng chống bot không ma sát bằng Turnstile
Các biểu mẫu quan trọng được bảo vệ bởi Cloudflare Turnstile, phân biệt người dùng thật và bot ngầm bằng tín hiệu thiết bị và hành vi — không captcha hình ảnh, không gây phiền hà.
Ghi log IP đã che
Địa chỉ IP đầy đủ không bao giờ được lưu. Trước khi ghi vào log phân tích hoặc bảo mật, IP đều được che phần cuối (ví dụ 1.2.3.***); IP gốc chỉ tồn tại trong bộ nhớ đủ lâu để phục vụ quyết định phòng thủ tức thời rồi bị hủy, hạn chế thiệt hại nếu log bị rò rỉ.
Các biện pháp bổ sung
| Biện pháp | Mô tả |
|---|---|
| Truy vấn tham số hóa | Toàn bộ truy vấn cơ sở dữ liệu đều dùng parameterized binding, loại bỏ tận gốc lớp tấn công SQL Injection. |
| Kiểm tra đầu vào | Các endpoint API bắt buộc tuân thủ schema validation (required, min, max, email…). Dữ liệu không hợp lệ bị từ chối trước khi chạm vào business logic. |
| Chống CSRF | Mọi yêu cầu thay đổi trạng thái đều cần CSRF Token riêng biệt, Cookie được đặt HttpOnly + Secure + SameSite=Strict để chặn giả mạo yêu cầu chéo trang ngay từ gốc. |
| Chính sách CORS nghiêm ngặt | Chỉ origin chính thức mới được phép gọi API; mọi lời gọi cross-origin trái phép đều bị từ chối. |
| Giảm thiểu DDoS qua Cloudflare | Các edge node tự động phát hiện và giảm thiểu lưu lượng bất thường trước khi nó đến máy chủ gốc. |
| Log che trường nhạy cảm | Framework logging mặc định che IP, Token, mật khẩu — ngay cả khi log bị lộ, dữ liệu nhạy cảm vẫn không đi theo. |
Tiết lộ có trách nhiệm
Nếu bạn phát hiện lỗ hổng bảo mật ở LPIC.cc, vui lòng gửi email riêng tới [email protected]. Chúng tôi cam kết:
- Xác nhận báo cáo của bạn trong vòng 48 giờ.
- Không khởi kiện các nhà nghiên cứu bảo mật thiện chí.
- Công khai cảm ơn trên trang này sau khi bản vá phát hành, nếu bạn đồng ý.
Để bảo vệ người dùng khác, vui lòng không chạy quét tự động hay kiểm thử tải lên môi trường production.
Cập nhật lần cuối: 21/04/2026