लॉग इन
अकाउंट पासवर्ड कभी टेक्स्ट के रूप में नहीं रखे जाते। उन्हें PHP के password_hash() फ़ंक्शन से उसके डिफ़ॉल्ट एल्गोरिदम का उपयोग करके बनाए सॉल्टेड वन-वे हैश के रूप में सेव किया जाता है, और साइन इन करते समय password_verify() से जाँचा जाता है। साइन इन के बाद सेशन को नई पहचान के साथ नवीनीकृत किया जाता है।
API कुंजियाँ कीड SHA-256 हैश (HMAC) के रूप में रखी जाती हैं और सिर्फ़ अनुरोधों को सत्यापित करने के लिए उपयोग होती हैं। डैशबोर्ड से कुंजी बदली जा सकती है, और कुंजियों की पुरानी पढ़ने योग्य कॉपियाँ मिटा दी जाती हैं। अपनी कुंजी निजी रखें, क्योंकि जिसके पास वह है वह API के ज़रिए आपकी तरह काम कर सकता है।
आपके अकाउंट को बदलने वाली कार्रवाइयाँ, जैसे सेटिंग्स अपडेट करना या वीडियो डिलीट करना, के लिए आपके सेशन से जुड़ा CSRF टोकन चाहिए, और टोकन की तुलना कॉन्स्टेंट टाइम में होती है। सेशन कुकी HttpOnly और SameSite=Lax चिह्नित है, इसलिए पेज की स्क्रिप्ट उसे पढ़ नहीं सकतीं और वह ज़्यादातर क्रॉस-साइट अनुरोधों के साथ नहीं भेजी जाती।
अपलोड किए वीडियो और उनकी प्रोसेस की गई स्ट्रीमिंग फ़ाइलें एक प्राइवेट स्टोरेज फ़ोल्डर में सेव होती हैं, जिसे वेब सर्वर सीधी पहुँच से रोकने के लिए कॉन्फ़िगर किया गया है। वे एप्लिकेशन के ज़रिए दी जाती हैं, जो पहले अनुरोध की जाँच करता है। दी गई फ़ाइलें ऐसे कैश हेडर के साथ भेजी जाती हैं जो उन्हें प्राइवेट चिह्नित करते हैं, इसलिए साझा कैश उन्हें नहीं रखने चाहिए।
प्लेयर को स्थायी फ़ाइल पते की जगह कम अवधि वाले प्लेबैक सेशन मिलते हैं, और डिफ़ॉल्ट अवधि 15 मिनट है। डाउनलोड अनुरोध अनुरोधकर्ता के IP पते की जगह उसके हैश्ड रूप के साथ दर्ज होते हैं, और व्यू गिनती पर भी यही लागू होता है।
हर वीडियो पब्लिक या प्राइवेट हो सकता है, और आप डैशबोर्ड से चुने हुए वीडियो को प्राइवेट कर सकते हैं। प्राइवेट वीडियो सार्वजनिक फ़ोल्डर पेजों पर नहीं दिखते। दुरुपयोग या कॉपीराइट रिपोर्ट संभालते समय साइट मॉडरेटर फिर भी कोई भी फ़ाइल खोल सकते हैं।
HTTP API हर अकाउंट पर प्रति घंटा अनुरोध, प्रति दिन अनुरोध और प्रति दिन अपलोड की सीमाएँ लागू करती है (डिफ़ॉल्ट रूप से 250, 5,000 और 25), और सीमा पूरी होने पर 429 स्टेटस और Retry-After हेडर के साथ जवाब देती है। होम पेज से गेस्ट अपलोड प्रति नेटवर्क पता प्रति दिन दस अस्थायी अकाउंट तक सीमित हैं। दुरुपयोग रिपोर्ट फ़ॉर्म जैसे सार्वजनिक फ़ॉर्म की अपनी सीमाएँ हैं।
आप डैशबोर्ड से वीडियो डिलीट कर सकते हैं। वीडियो डिलीट करने पर उसकी सेव फ़ाइलें और डेटाबेस रिकॉर्ड हट जाते हैं। अकाउंट डिलीट करना संपर्क पेज के ज़रिए अनुरोध के रूप में संभाला जाता है, और बैकअप तथा कानूनी दायित्वों के लिए डेटा रखने की अवधि गोपनीयता नीति में बताई गई है।
साइट पहचानती है कि वह HTTPS पर परोसी जा रही है और उस स्थिति में सुरक्षित लिंक बनाती है। हर विज़िट को HTTPS पर भेजना और उससे जुड़ी ब्राउज़र नीतियाँ वेब सर्वर कॉन्फ़िगरेशन में सेट होती हैं, एप्लिकेशन कोड में नहीं, इसलिए साइन इन करने से पहले हमेशा देख लें कि एड्रेस बार में सुरक्षित कनेक्शन दिख रहा है।
अगर आपको कोई सुरक्षा समस्या मिले, तो कृपया संपर्क पेज के ज़रिए हमें बताएँ और उसे दोहराने के लिए पर्याप्त विवरण दें। कृपया परीक्षण करते समय दूसरों के डेटा तक न पहुँचें और सेवा में बाधा न डालें। आपत्तिजनक कंटेंट की रिपोर्ट के लिए इसके बजाय दुरुपयोग रिपोर्ट का उपयोग करें।
