Trở về trang ghi chú

Bảo mật được mô tả bằng những gì đang chạy

GhiChu.xyz chỉ công bố những biện pháp có thể đối chiếu với hệ thống hiện hành. Trang này không tiết lộ chi tiết kiến trúc nội bộ hoặc thông tin có thể làm tăng rủi ro vận hành.

HTTPS

Truy cập công khai đến GhiChu.xyz sử dụng HTTPS để mã hóa dữ liệu trên đường truyền giữa trình duyệt và máy chủ. Người dùng nên kiểm tra đúng tên miền ghichu.xyz trước khi nhập nội dung hoặc mật khẩu.

Bảo vệ mật khẩu

Mật khẩu ghi chú và mật khẩu chỉnh sửa được lưu dưới dạng giá trị băm bcrypt, không lưu dưới dạng văn bản thuần. GhiChu.xyz không có khả năng gửi lại mật khẩu gốc và không cung cấp chức năng khôi phục mật khẩu ghi chú.

Ba chế độ chia sẻ

Phiên mở khóa được giới hạn theo ghi chú và sử dụng cookie Secure, HttpOnly, SameSite=Strict. Phiên có thời hạn và có thể mất hiệu lực khi dịch vụ khởi động lại.

Giới hạn truy cập và chống thử mật khẩu

API áp dụng giới hạn tốc độ chung. Các thao tác thử mật khẩu, mở khóa chỉnh sửa và truy cập nhiều mã ghi chú khác nhau còn có giới hạn riêng để giảm dò quét và thử mật khẩu hàng loạt.

Lưu và xóa ghi chú

Ghi chú không được bảo vệ được dọn sau thời gian không hoạt động theo cấu hình hệ thống; mặc định hiện tại là 6 tháng. Ghi chú trống không được bảo vệ có thể được dọn sau 1 ngày. Ghi chú có mật khẩu không thuộc quy tắc tự động dọn ghi chú không được bảo vệ này.

TOTP

Công cụ TOTP chạy trong trình duyệt. KEY được dùng để tính mã tại thiết bị và không được gửi đến API tạo mã TOTP của GhiChu.xyz. Không nhập ID, mật khẩu, cookie, token, mã khôi phục hoặc KEY của tài khoản không thuộc quyền sở hữu hợp pháp của bạn.

Dữ liệu được log

Hệ thống và hạ tầng web có thể ghi địa chỉ IP, đường dẫn, mã ghi chú, thời gian truy cập, trình duyệt và user-agent phục vụ vận hành, thống kê và chống lạm dụng. Bản ghi lượt truy cập trong ứng dụng không chứa nội dung ghi chú và được dọn theo chu kỳ hiện hành.

Dữ liệu không được đưa vào API TOTP

KEY TOTP, mã OTP vừa tạo và danh sách KEY trên màn hình không được gửi trong request của tính năng tạo TOTP. Công cụ xóa KEY giúp xóa giá trị khỏi giao diện và bộ nhớ JavaScript của trang hiện tại.

Báo cáo lỗ hổng

Nếu phát hiện lỗ hổng, vui lòng không truy cập thêm dữ liệu, không công khai trước khi có thời gian xử lý và không thực hiện thử nghiệm gây gián đoạn. Gửi mô tả, URL hoặc khu vực ảnh hưởng, bước tái hiện tối thiểu và tác động dự kiến qua trang Liên hệ với tiêu đề “Bảo mật — GhiChu.xyz”.

Cập nhật lần cuối: 23/08/2026.