Đăng nhập
Mật khẩu tài khoản không bao giờ được lưu dưới dạng văn bản. Chúng được lưu dưới dạng mã băm một chiều có salt, tạo bằng hàm password_hash() của PHP với thuật toán mặc định, và được kiểm tra bằng password_verify() khi bạn đăng nhập. Phiên được làm mới bằng mã định danh mới sau khi đăng nhập.
Khóa API được lưu dưới dạng mã băm SHA-256 có khóa (HMAC) và chỉ dùng để xác minh yêu cầu. Bạn có thể đổi khóa từ bảng điều khiển, và các bản sao khóa đọc được cũ sẽ bị xóa. Hãy giữ khóa riêng tư, vì ai có khóa đều có thể thao tác như bạn qua API.
Các thao tác thay đổi tài khoản, như cập nhật cài đặt hoặc xóa video, yêu cầu mã CSRF gắn với phiên của bạn, và mã được so sánh trong thời gian không đổi. Cookie phiên được đặt HttpOnly và SameSite=Lax, nên tập lệnh trên trang không đọc được và nó không được gửi kèm hầu hết yêu cầu từ trang khác.
Video đã tải lên và các tệp phát trực tuyến đã xử lý được lưu trong thư mục lưu trữ riêng mà máy chủ web được cấu hình để chặn truy cập trực tiếp. Chúng được phân phối qua ứng dụng, vốn kiểm tra yêu cầu trước. Tệp được gửi kèm tiêu đề bộ nhớ đệm đánh dấu là riêng tư, nên các bộ nhớ đệm dùng chung không được lưu chúng.
Trình phát nhận các phiên phát có thời hạn ngắn thay vì địa chỉ tệp cố định, với thời hạn mặc định là 15 phút. Yêu cầu tải xuống được ghi theo phiên bản băm của địa chỉ IP người yêu cầu thay vì chính địa chỉ đó, và việc đếm lượt xem cũng tương tự.
Mỗi video có thể ở chế độ công khai hoặc riêng tư, và bạn có thể chuyển một số video sang riêng tư từ bảng điều khiển. Video riêng tư không xuất hiện trên các trang thư mục công khai. Người kiểm duyệt vẫn có thể mở bất kỳ tệp nào khi xử lý báo cáo lạm dụng hoặc bản quyền.
API HTTP áp dụng giới hạn theo từng tài khoản về số yêu cầu mỗi giờ, số yêu cầu mỗi ngày và số lần tải lên mỗi ngày (mặc định 250, 5.000 và 25), và trả về mã 429 cùng tiêu đề Retry-After khi đạt giới hạn. Tải lên dạng khách từ trang chủ bị giới hạn ở mười tài khoản tạm thời cho mỗi địa chỉ mạng mỗi ngày. Các biểu mẫu công khai như biểu mẫu báo cáo lạm dụng có giới hạn riêng.
Bạn có thể xóa video từ bảng điều khiển. Xóa một video sẽ gỡ các tệp đã lưu và bản ghi trong cơ sở dữ liệu của nó. Việc xóa tài khoản được xử lý theo yêu cầu qua trang liên hệ, và chính sách quyền riêng tư mô tả thời gian lưu giữ cho bản sao lưu và nghĩa vụ pháp lý.
Trang web nhận biết khi được truy cập qua HTTPS và tạo liên kết bảo mật trong trường hợp đó. Việc buộc mọi lượt truy cập dùng HTTPS và các chính sách trình duyệt tương ứng được thiết lập trong cấu hình máy chủ web chứ không nằm trong mã ứng dụng, vì vậy bạn luôn nên kiểm tra thanh địa chỉ hiển thị kết nối an toàn trước khi đăng nhập.
Nếu bạn phát hiện lỗ hổng bảo mật, vui lòng báo cho chúng tôi qua trang liên hệ và nêu đủ chi tiết để tái hiện. Vui lòng không truy cập dữ liệu của người khác hay làm gián đoạn dịch vụ khi kiểm tra. Để báo cáo nội dung lạm dụng, hãy dùng Báo cáo lạm dụng.
