I-download Lesuto Hub at Nagbebenta - Mamili at magbenta sa iOS at Android
I-download Lesuto Hub at Nagbebenta - Mamili at magbenta sa iOS at Android
Seguridad at Tiwala
Nakapaloob ang seguridad sa bawat layer ng platform ng Lesuto - mula sa kung paano namin pinangangasiwaan ang mga pagbabayad hanggang sa kung paano namin ihihiwalay ang data ng nangungupahan. Hindi namin isinasama ang seguridad bilang isang karagdagang bagay. Ito ay pundasyonal.
Mga Patong ng Seguridad (Depensa nang Malalim)
Seguridad sa Imprastraktura
Ang iyong aplikasyon ay tumatakbo sa Google Cloud na may Cloudflare sa unahan. Walang mga server na pamamahalaan, walang mga patch na ilalapat, walang SSH access na kailangang ikompromiso.
Naka-host sa Google Cloud Run (us-west1) na may imprastraktura na pinamamahalaan ng Google, awtomatikong pag-scale, at built-in na proteksyon ng DDoS. Walang mga server na kailangang i-patch - Google na ang bahala dito.
TLS 1.3 sa lahat ng koneksyon. Naka-install ang AES-256 encryption. SSL-lamang ang ipinapatupad sa mga koneksyon sa database - ang hindi naka-encrypt na access ay hinaharangan sa antas ng imprastraktura.
Pang-araw-araw na awtomatikong pag-backup na may point-in-time na pagbawi. Mga backup na nakaimbak sa isang hiwalay na rehiyong heograpiko (us-central1) mula sa pangunahing database (us-west1) para sa katatagan sa panahon ng sakuna.
Ang DNS, SSL, at tenant routing ay pinangangasiwaan ng Cloudflare na may built-in na Web Application Firewall, DDoS mitigation, at rate limiting sa buong network.
Awtomatikong pagsusuri ng seguridad ng CodeQL sa bawat pagbabago ng code. Linggu-linggo, minomonitor ng Dependabot ang lahat ng dependency para sa mga kilalang CVE. Hinaharangan ng mga pre-commit hook ang mga pagtagas ng kredensyal bago i-commit ang code.
Mga Pagkilos ng CI/CD sa pamamagitan ng Git Hub na walang manu-manong pag-access sa server. Ang bawat deploy ay isang bagong container. Walang SSH, walang access sa shell. Ipinapatupad ng CODEOWNERS ang pagsusuri sa mga pagbabagong sensitibo sa seguridad.
Seguridad sa Pagbabayad
Ang lahat ng pagproseso ng pagbabayad ay ganap na pinangangasiwaan ng Stripe. Hindi kailanman nag-iimbak, nagpoproseso, o may access Lesuto sa mga raw card number. Tapos na.
Ang lahat ng pagproseso ng pagbabayad ay pinangangasiwaan ng Stripe, ang nangunguna sa industriya. Hindi kailanman nag-iimbak, nagpoproseso, o nagpapadala Lesuto ng mga raw na numero ng card. Ang Stripe ay may sertipikasyon ng PCI-DSS Level 1 - ang pinakamataas na antas ng seguridad sa pagbabayad.
Mga payout ng supplier at merchant sa pamamagitan ng Stripe Connect Express (51 na bansa) o Wise (23 pang bansa). Ang bawat tatanggap ng payout ay beripikado bago sila makatanggap ng pondo.
Awtomatikong pagkalkula ng buwis sa checkout. Ang pagsunod sa buwis ay pinangangasiwaan ng sertipikadong tax engine ng Stripe - mga form na W-8BEN/W-9, mga transaksyon sa buwis, at mga pagbaligtad na lahat ay pinamamahalaan sa pamamagitan ng programa.
Ang built-in na pag-iwas sa pandaraya ng Stripe na may 3D Secure authentication para sa mga transaksyong may mataas na panganib. Pinoprotektahan ng karagdagang layer ng beripikasyon ang parehong mga merchant at customer.
Na-verify na ang lahat ng payload ng Stripe webhook gamit ang mga cryptographic signature bago iproseso. Walang unsigned o tampered event ang maaaring mag-trigger ng anumang aksyon sa system.
Proteksyon ng Mamimili
Ang bawat transaksyon ay dumadaan sa Lesuto . Nangangahulugan ito na ang parehong mamimili at nagbebenta ay protektado sa bawat hakbang ng proseso.
Ang bawat pagbili ay pinoproseso sa pamamagitan ng integrasyon ng Stripe ng Lesuto . Ang iyong bayad ay ligtas na iniingatan at ibibigay lamang sa supplier pagkatapos ng panahon ng pagbabalik.
Ang buong siklo ng pagbabalik ay pinamamahalaan ng platform. Humiling ng pagbabalik, ipadala ito pabalik, at matanggap ang iyong refund - ang platform ang namamahala sa buong proseso.
Ang bawat supplier ay minomonitor na may 12+ signal risk score. Ang mga supplier na may mahinang fulfillment, mataas na return rates, o mga isyu sa kalidad ay minamarkahan at inaalis.
Ang buwis ay kinakalkula nang maaga sa checkout gamit ang Stripe Tax. Kasama na sa presyong makikita mo ang lahat. Walang surpresang bayarin pagkatapos bumili.
Hindi kami kailanman magpapadala sa iyo ng mga email maliban kung mag-opt in ka. Ang iyong data ay hindi kailanman ibebenta. Maaari kang humiling ng pagbura anumang oras.
Ang mga komisyon ay itinatala hanggang sa matapos ang panahon ng pagbabalik. Pinoprotektahan ka nito mula sa mga chargeback sa mga ibinalik na item.
Awtomatikong pinipigilan ng platform ang mga diskwento na lumalagpas sa iyong porsyento ng komisyon. Palaging protektado ang iyong mga margin.
Ang mga hindi pagkakaunawaan sa pagitan ng mga customer ay namamagitan sa pamamagitan ng sistema ng suporta ng platform. Hindi ka nag-iisa sa paglutas ng mga isyu.
Bawat supplier sa platform ay beripikado at minomonitor. Nagbebenta ka ng mga produkto mula sa mga negosyo, hindi mula sa mga hindi nagpapakilalang pabrika.
Ang iyong komisyon ay kinakalkula at ipinapakita bago ka mag-subscribe sa anumang supplier. Walang mga nakatagong bayarin, walang mga sorpresa sa araw ng payout.
Bakit mahalaga ito? Because every transaction on every Lesuto storefront is processed by Lesuto Technologies, Inc. Whether you're buying a $50 candle or a $5,000 dining table, you're covered by the same payment protection, return policies, and dispute resolution system. The merchant curates the experience - we handle the rest.
Seguridad ng Aplikasyon
Bawat tungkulin, bawat ruta, bawat tawag sa API ay may permission-gated. Kung ang isang security layer ay na-bypass, ang iba ay mananatili pa rin. Walang iisang punto ng pagkabigo.
26 na pre-built na template ng pahintulot na sumasaklaw sa bawat kombinasyon ng access ng merchant, supplier, at staff. Ang bawat API endpoint, bawat screen, bawat button ay may detalyadong mga pahintulot.
Mga guwardiya ng server-side resolver, mga override ng pahintulot sa nabigasyon, interception ng ruta sa client-side, at mga paghihigpit sa channel picker. Walang iisang punto ng pagkabigo - kung ang isang layer ay na-bypass, ang iba ay mananatili pa rin.
Ang bawat negosyo ay nagpapatakbo sa sarili nitong channel na may kumpletong paghihiwalay ng data. Hindi nakikita ng mga mangangalakal ang mga order, customer, o produkto ng ibang mga mangangalakal. Ang mga supplier ay nakahiwalay din sa parehong paraan.
Ang lahat ng kahilingan sa GraphQL API ay nangangailangan ng pagpapatotoo. Ang mga pampublikong endpoint ay hayagang nakalista sa mga allowable. Ang paglilimita sa rate at pagpapatunay ng kahilingan sa lahat ng mutasyon ay pumipigil sa pang-aabuso.
I-secure ang mga HTTP-only cookies gamit ang proteksyon ng SameSite. 365-araw na pag-expire ng password na may 30-araw na babala. Hindi maaaring gamitin muli ang huling 5 password. Ipinapatupad ang mga kinakailangan sa pagiging kumplikado sa server-side.
Pagkapribado ng Datos
Naniniwala kami sa kaunting pangongolekta ng datos at pinakamataas na kontrol ng gumagamit. Kinokolekta lamang namin ang kinakailangan upang iproseso ang mga order at pamahalaan ang mga account - wala nang iba.
Dapat na tahasang mag-opt in ang mga user para makatanggap ng anumang notification sa email. May master toggle kasama ang mga kontrol para sa bawat kategorya - naka-OFF ang lahat ayon sa default.
Kinokolekta namin ang mga kailangan para maproseso ang mga order at mapamahalaan ang mga account. Ang Google Analytics 4 ay sumusunod sa pahintulot ng cookie. Hindi namin ibinebenta ang data na iyon.
Hindi kami kailanman nagbebenta ng personal na datos sa mga ikatlong partido. Ang iyong datos ay sa iyo. Tuldok.
Maaaring humiling ang mga customer ng pag-access, pagwawasto, o pagbura ng data anumang oras. Sinusuportahan namin ang mga karapatan ng CCPA/CPRA ngayon.
Hindi ka namin kailanman padadalhan ng mga email maliban kung tahasan kang mag-opt in. Ang lahat ng mga kagustuhan sa notification ay kinokontrol mula sa mga setting ng iyong account.
Analitika
Dapat malaman ng mga mamimili at mangangalakal kung aling mga tracker ang tumatakbo at kung aling mga pahina ang nananatiling pribado.
Naglo-load ang Google Analytics 4 pagkatapos ng pahintulot ng cookie. Ang trapiko ng komersyo ay dumadaan sa api.lesuto.com, hindi sa isang direktang shop API. Ang mga pribadong pahina ng pitch sa ilalim ng /for at ang investor deck ay noindex.
Paglalakbay sa Pagsunod
Nagsisikap kaming makamit ang mga pormal na sertipikasyon. Narito ang aming kinatatayuan ngayon at ang mga susunod na mangyayari. Walang mga maling pahayag - mga katotohanan lamang.
Mga aktibong hakbang sa seguridad sa produksyon
Mga nakaplanong sertipikasyon at programa
Paalala sa Transparency: Wala kaming hawak na mga sertipikasyon ng SOC 2, ISO 27001, o HIPAA ngayon. Ang mga aytem sa kolum na "Ano ang Paparating" ay kumakatawan sa aming roadmap, hindi sa kasalukuyang mga kakayahan. Umaasa kami sa Stripe para sa pagsunod sa PCI at sa Google Cloud para sa mga sertipikasyon sa antas ng imprastraktura.
Tinatanggap namin ang mga mananaliksik sa seguridad na mag-ulat nang responsable tungkol sa mga kahinaan. Kung nakakita ka ng isyu sa seguridad sa platform Lesuto , mangyaring makipag-ugnayan sa amin nang direkta. Sineseryoso namin ang bawat ulat at makikipagtulungan sa iyo upang malutas ito.
Mag-ulat ng KahinaanMakipag-ugnayan sa aming koponan sa pamamagitan ng ligtas na form o suriin ang aming Patakaran sa Pagkapribado para sa detalyadong impormasyon tungkol sa kung paano namin pinoprotektahan ang iyong data.
Makipag-ugnayan sa Koponan ng Seguridad