安全应在建立联系之前、期间和之后发挥作用
一个简短的链接可能看起来很简单,但它连接了一个目的地,一个所有者账户,一个方向路径,以及操作数据. SHORTURL ASIA使用分层的保障措施,这样一个缺失的信号就不会成为唯一的防线. 目标是减少实际风险,而不使合法联系不必要地难以使用。
在目的地被接受之前
新的目的地必须是完整的HTTP或HTTPS地址. 检查者审查主机,地址格式,以及可能导致私人或保留网络的条件. DNS与公众 -IP跨方向检查重复检查,以减少服务器侧请求风险。 通过这些检查意味着地址当时符合技术规则;它不能证明目的地的内容。
链接审查和现状
链接可能有待审查、安全、被禁用、过期或被屏蔽。 当所有者更新一个设置,新报告到达,或者以后的检查发现不同的结果时,其状态可以改变. 被保护的别名使公共页面和重要应用路径不会与用户创建的地址相撞.
- 校验URL结构和公共目的地。
- 保护保留的别名和应用程序路线。
- 支持重新检查、报告和管理员限制。
- 限制费率的敏感形式和重复行动。
账户保护
成员密码作为安全的散列而不是可读文本存储. 可能需要电子邮件核查,服务可以支持Google登录、密码和启用时的两要素认证。 账户和后台行动受到认证、授权、请求验证和费率限制的保护。
用户仍然扮演着重要角色:使用不与另一服务共享的密码,在可用时启用额外因素,在签名之前验证域名并签名出共享设备.
数据和隐私
运营服务需要一些信息,包括账户细节,目的地,链接设置,符合条件的分析,以及安全事件. 访问按角色和目的分开。 隐私政策更详细地解释了信息的类别和相关保留。
处理虐待
自动信号有助于确定可疑活动的优先次序,但它们并不是对背景的完美判断。 报告、目的地行为、现有证据和政策一并审议。 经确认的风险可能导致旨在保护访客和服务的联系或账户限制。
负责任的脆弱性报告
如果您认为自己有弱点,请不要公布会引发虐待的细节,也不要获取、更改或保留他人的数据。 联系我们与受影响的人URL清楚的复制步骤,预期的行为, 以及实际发生的事情。 我们将审查这些资料并在必要时采取后续行动。
在信任陌生联系之前
- 考虑是否预期发送者和上下文 。
- 如果目的地不明, 请使用链接检查器 。
- 不要输入密码、一次性代码或可疑域的付款细节。
- 报告冒充,不必要的数据请求,或出乎意料地下载.