Ledger-இல் பாதுகாப்பு

தங்கள் கருவிகள் மீது முழு நம்பிக்கை வைக்க விரும்பும் கணக்கியல் நிறுவனங்களுக்காக உருவாக்கப்பட்டது.

கடைசியாக புதுப்பிக்கப்பட்டது: 2026-07-10

வார்ப்புரு சட்டப் பரிசீலனைக்கு நிலுவையில் உள்ளது

இந்தப் பக்கம் வெளிப்படைத்தன்மைக்காக எங்களது பொறியியல் குழுவால் தயாரிக்கப்பட்ட எங்களது தற்போதைய பாதுகாப்பு நிலை குறித்த அறிக்கையாகும். இது இன்னும் வெளிச் சட்ட ஆலோசகர்களால் பரிசீலிக்கப்படவில்லை; எனவே இது எவ்வித உத்தரவாதமோ அல்லது உறுதியளிப்போ அல்ல. எங்களது கடப்பாடுகள் குறித்த அதிகாரப்பூர்வ அறிக்கை எங்களதுசேவை விதிமுறைகள் (Terms of Service) மற்றும் உங்கள் நிறுவனத்துடன் மேற்கொள்ளப்பட்ட ஒப்பந்தத்திலேயே அமைந்திருக்கும்.

உள்கட்டமைப்பு பாதுகாப்பு

Ledger நேரடியாகச் சேமிக்கும் வாடிக்கையாளர் நிதித் தரவு ஐரோப்பிய ஒன்றியத்தில் (Cloudflare WEUR பிராந்தியம்) வைக்கப்பட்டுள்ளது — GDPR பிரிவு 44 இணக்கம். ஐக்கிய இராச்சிய (UK) வங்கிக் feed-களுக்கு மட்டும் பொருந்தும் ஒரு குறுகிய, விருப்பத் தேர்வு விதிவிலக்கிற்கு கீழே உள்ள 'இணக்கம்' பிரிவைப் பார்க்கவும்.
அனைத்து தரவும் Cloudflare-இன் தள-நிலை குறியாக்கத்தைப் பயன்படுத்தி ஓய்வில் குறியாக்கம் செய்யப்படுகிறது. OAuth டோக்கன்கள் மற்றும் தோல்வியுற்ற மின்னஞ்சல் PII உள்ளிட்ட முக்கியமான புலங்கள் பயன்பாட்டு அடுக்கில் AES-256-GCM மூலம் கூடுதலாகக் குறியாக்கம் செய்யப்படுகின்றன.
தரவுப் பரிமாற்றத்தின் போது (In transit) TLS 1.2+ பாதுகாப்பு பயன்படுத்தப்படுகிறது (பயனர் சாதனம் ஆதரிக்கும் போது TLS 1.3 முன்னுரிமை பெறுகிறது). HSTS முறைமை கட்டாயமாக்கப்பட்டுள்ளது.
Cloudflare-இன் உலகளாவிய edge வலையமைப்பு வழியாக DDoS பாதுகாப்பு மற்றும் WAF.
கட்டுப்பாட்டு தள தரவுத்தளத்தின் தினசரி தானியங்கு காப்புப்பிரதிகள்; பயனர் தரவுகள் வாசிப்பு வசதிக்காகப் பல பிராந்திய மறுஉருவாக்கத்துடன் நிலையான சேமிப்பகத்தில் சேமிக்கப்படுகின்றன. மீட்பு இலக்குகள்: RPO ≤ 24 மணிநேரம், RTO ≤ 4 மணிநேரம். காலாண்டு பேரிடர்-மீட்பு பயிற்சிகள்.

அடையாளம் & அணுகல்

அனைத்து கணக்குகளுக்கும் இரு-காரணி அங்கீகரிப்பு (TOTP) கிடைக்கிறது.
கடவுச்சொற்களுக்கு குறைந்தபட்சம் 12 எழுத்துகள் தேவை (NIST 800-63B).
தொடர்ச்சியான தோல்வியுற்ற உள்நுழைவு முயற்சிகளுக்குப் பிறகு கணக்கு பூட்டப்படும்.
பொறுப்பு அடிப்படையிலான அணுகல் கட்டுப்பாடு — நிறுவன-நிலை மற்றும் நிறுவனக்கூறு-நிலை அனுமதிகள்.
ஒவ்வொரு நிறுவனம் சார்ந்த API கோரிக்கையும் மூன்று சுயாதீன அதிகாரமளிப்பு அடுக்குகள் வழியாகச் செல்கிறது: requireLedgerAuth (அமர்வுச் செல்லுபடித் தன்மை); resolveFirm (கணக்கியல் நிறுவன உறுப்பினர் நிலை); resolveEntity (குறிப்பிட்ட அமைப்பிற்கான அணுகல்).
கடவுச்சொல் மாற்றத்தின் போது மற்றும் சந்தேகத்திற்குரிய செயல்பாட்டின் போது அமர்வு ரத்து செய்யப்படும்.
பாதுகாப்பான அமர்வு மேலாண்மை: httpOnly, Secure, SameSite=Lax குக்கீகள்.

பயன்பாட்டு பாதுகாப்பு

தரவை மாற்றியமைக்கும் அனைத்துக் கோரிக்கைகளும் அனுமதிக்கப்பட்ட களப் பட்டியலுடன் ஒப்புநோக்கப்பட்டு மூல முகவரி தலைப்பு சரிபார்க்கப்படுகிறது (CSRF பாதுகாப்பு).
SHA-256 ஹாஷ்-சங்கிலி தணிக்கை பதிவு — ஒவ்வொரு மாற்றமும் அதற்கு முந்தையதுடன் குறியாக்க முறையில் இணைக்கப்படுகிறது. எந்தவொரு பழைய பதிவிலும் முறைகேடு செய்ய முயன்றால் சங்கிலி உடைந்து, எங்களது தினசரி சரிபார்ப்பு தானியங்கு நிரல் (Cron) மூலம் கண்டறியப்படும்.
தினசரி தானியங்கு சங்கிலி சரிபார்ப்பு அனைத்து கணக்குகளிலும் இயங்குகிறது — எந்தவொரு ஒருமைப்பாட்டு தோல்வியும் உடனடி எச்சரிக்கையைத் தூண்டுகிறது.
தரவுத்தள மட்டத்தில் வாடிக்கையாளர் தரவுத் தனிமைப்படுத்தல் (ஒவ்வொரு நிறுவனத்தின் தரவும் அதற்கென ஒதுக்கப்பட்ட நிலையான பொருளில் (Durable Object) சேமிக்கப்படுகிறது).
Jumpstone Technology Inc. ஊழியர்களுக்கு கடுமையான அணுகல் கட்டுப்பாடுகள் மற்றும் குறைந்தபட்ச-சலுகை.

HTTP பாதுகாப்பு தலைப்புகள்

Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: DENY
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: geolocation=(), microphone=(), camera=(), payment=(), usb=()

இணக்கம்

SOC 2 Type II இணக்கத்தை நோக்கிப் பணியாற்றி வருகிறோம். கண்காணிப்பு காலம் திறந்துள்ளது; SOC 2 கட்டுப்பாடுகள் இன்று செயல்படுத்தப்பட்டுள்ளன, அதைத் தொடர்ந்து சான்றளிப்பு வழங்கப்படும்.
GDPR இணக்கம். Ledger நேரடியாகச் சேமிக்கும் தரவு ஐரோப்பிய ஒன்றியத்திற்குள் மட்டுமே உள்ளது; அமெரிக்கா (US) தளத்திலுள்ள துணை-செயலாக்கிகளுக்கு (Stripe, SendGrid, Sentry, மற்றும் விருப்பத் தேர்வு ஐக்கிய இராச்சிய வங்கிக் feed-களுக்கான Plaid) செல்லும் வரையறுக்கப்பட்ட தரவு பரிமாற்றங்கள், Standard Contractual Clauses அல்லது அத்தியாயம் V-க்கு இணையான வழிமுறை மூலம் உள்ளடக்கப்பட்டுள்ளன — மேலும் விவரங்களுக்கு எங்கள் தனியுரிமைக் கொள்கையைப் பார்க்கவும். விருப்பத் தேர்வு கனேடிய வங்கிக் feed-கள் தொடர்பான Plaid, அதற்குப் பதிலாக PIPEDA மற்றும் Quebec Law 25 கீழ் மதிப்பிடப்படுகிறது.
விருப்பத் தேர்வு ஐக்கிய இராச்சிய, கனேடிய வங்கிக் feed-கள்: ஐக்கிய இராச்சிய அல்லது கனேடிய வாடிக்கையாளர் ஒரு வங்கிக் கணக்கை இணைக்கத் தேர்ந்தெடுத்தால், Plaid (ஐக்கிய இராச்சிய நிறுவனங்களுக்கு, FCA அங்கீகாரம் பெற்ற ஐக்கிய இராச்சிய Open Banking வழங்குநர்) அந்த வங்கித் தரவை மீட்டெடுத்து, சட்டப்பூர்வமான எல்லை தாண்டிய பரிமாற்ற வழிமுறையின் கீழ் அமெரிக்காவில் தனது சொந்த பிரதியைச் சேமிக்கிறது. இது விருப்பத் தேர்வு செய்யும் ஐக்கிய இராச்சிய மற்றும் கனேடிய நிறுவனங்களுக்கு மட்டுமே பொருந்தும்; கனேடிய வங்கிக் feed-கள் Ledger கனடாவில் அறிமுகப்படுத்தப்பட்ட பின்னர், PIPEDA மற்றும் Quebec Law 25 மதிப்பீடுகள் முடிந்த பிறகே செயல்படத் தொடங்கும் — மேலும் விவரங்களுக்கு எங்கள் தனியுரிமைக் கொள்கையில் உள்ள துணை-செயலாக்கி அட்டவணையைப் பார்க்கவும்.
பொருந்தக்கூடிய கணக்கியல் தரநிலைகளால் தேவைப்படும் காலத்திற்கு நிதி பதிவுகள் தக்கவைக்கப்படுகின்றன (பொதுவாக இலங்கை மற்றும் கனடாவில் 7 ஆண்டுகள்; அதிகார வரம்பைப் பொறுத்து மாறுபடும்).
Ledger அட்டைதாரர் தரவை (PAN) செயலாக்குவதோ சேமிப்பதோ இல்லை. அனைத்து கட்டண செயலாக்கமும் Stripe மூலம் கையாளப்படுகிறது; நாங்கள் Stripe-வழங்கிய குறிப்பு அடையாளங்களை மட்டுமே பெறுகிறோம்.
தணிக்கை தடத்தின் ஒருமைப்பாடு எங்கள் தொடர்ச்சியான கண்காணிப்பு கட்டுப்பாடுகளின் ஒரு பகுதியாக தினசரி சரிபார்க்கப்படுகிறது.
துணை-செயலாக்கி பட்டியல் மற்றும் தரவுப் பரிமாற்ற வெளிப்பாடுகள் எங்கள் தனியுரிமைக் கொள்கையில் வெளியிடப்படுகின்றன.

பொறுப்புமிக்க வெளிப்படுத்தல்

பாதுகாப்பு சிக்கலைக் கண்டறிந்தீர்களா? [email protected]க்கு மின்னஞ்சல் அனுப்பவும்.
பாதுகாப்பு அறிக்கைகளைப் பெற்றதை 2 வேலை நாட்களுக்குள் உறுதிப்படுத்தவும், 5 வேலை நாட்களுக்குள் ஆரம்பகட்டப் பகுப்பாய்வை வழங்கவும் நாங்கள் இலக்கு வைத்துள்ளோம்.
தீர்வு காலக்கெடு தீவிரத்தைப் பொறுத்து மாறுபடும்; முக்கியமான சிக்கல்கள் முன்னுரிமை பொறியியல் கவனத்தைப் பெறுகின்றன.
நல்நோக்கத்துடன் செயல்படும் பாதுகாப்பு ஆராய்ச்சியாளர்கள் மீது நாங்கள் எந்தவொரு சட்டப்பூர்வ நடவடிக்கையும் எடுப்பதில்லை.

நோக்கம், தரவு அமைவிடம் மற்றும் ஒப்பந்தப் பாதுகாப்பு அமைப்புகள் உட்பட — வாடிக்கையாளர் தரவைக் கையாளும் துணை-செயலாக்கிகளின் முழுமையான பட்டியலுக்கு, எங்களதுதனியுரிமைக் கொள்கையில் (Privacy Policy) உள்ள துணை-செயலாக்கிகள் அட்டவணையைப் பார்க்கவும்.

எங்கள் பாதுகாப்பு நடைமுறைகள் குறித்து கேள்விகள் உள்ளதா? எங்களை [email protected] இல் தொடர்பு கொள்ளவும்