আস্থা
আমরা কী রাখি, অর্থ কোথায় যায়, আর কীভাবে চলে যাবেন। এই পণ্যের প্রতিটি প্রতিশ্রুতির সংক্ষিপ্ত রূপ, এক জায়গায় লেখা যাতে আপনাকে প্রশ্নোত্তর থেকে জোড়া লাগাতে না হয়।
আপনার ক্রেতাদের সম্পর্কে আমরা যা রাখি
প্রায় কিছুই না। কম ডেটা মানে ফাঁস হওয়ার মতো কম আর সমন পাওয়ার মতো কম।
- লেনদেনটি নিজে: পরিমাণ, মুদ্রা, স্ট্যাটাস, আর প্রোভাইডারের ইভেন্ট আইডি। ব্যস।
- কোনো ক্রেতার ইমেইল, নাম, বা ঠিকানা নেই। Stripe ও অন্যান্য প্রোভাইডার তাদের চেকআউট ফ্লোর জন্য সেগুলো সংগ্রহ করে; সেগুলো আমাদের নয়, আপনার প্রোভাইডার অ্যাকাউন্টে থাকে। সাবস্ক্রিপশন ক্রেতার ডেটার ক্ষেত্রেও তাই। আমরা প্রোভাইডারের কাস্টমার আইডি মিরর করি না, কার্ডের বিবরণ রাখি না, কোনো নির্দিষ্ট ব্যক্তির দিকে ইঙ্গিত করে এমন কিছুই রাখি না।
- আপনার নির্ধারণ করা একটি অস্বচ্ছ শনাক্তকারী।আপনি যদি চেকআউটে নিজের ব্যবহারকারী আইডি
metadata.customerRefহিসেবে পাঠান, আমরা সেই স্ট্রিংটি সংরক্ষণ করি যাতে আপনার ড্যাশবোর্ড দেখাতে পারে "এই লেনদেনটি user_bob_42 থেকে।" আমাদের কাছে এটি অর্থহীন। আপনার কাছে এটি আপনার নিজের ব্যবহারকারী ব্যবস্থায় সেতু। যখন আসল ক্রেতার বিবরণ দরকার, যে প্রোভাইডার তা সামলেছে (Stripe, PayPal, Square, বা Authorize.Net) তার লিংক ধরে বেরিয়ে যান; আমরা লিংক করি, নকল করি না। - কোনো কাঁচা ওয়েবহুক বডি নেই। আমরা সিগনেচার যাচাই করি, আমাদের প্রয়োজনীয় ফিল্ডগুলো পড়ি, আর বাকিটা ফেলে দিই।
- IP ঠিকানা কখনো সংরক্ষিত হয় না। আমরা IP ঠিকানা আমাদের ডেটাবেসে লগ, হ্যাশ, বা প্রেরণ করি না। Cloudflare-এর এজ নেটওয়ার্ক আমাদের দিকে IP ডেটা সংরক্ষণ না করেই রেট লিমিটিং সামলায়।
- ফাইলে থাকা সবচেয়ে ব্যক্তিগত জিনিস হলো মার্চেন্টের অ্যাকাউন্ট ইমেইল, সাইন-ইনের জন্য আমাদের auth প্রোভাইডার দ্বারা পরিচালিত। ক্রেতাদের ডেটা আমাদের ডেটাবেসে নেই।
আপনার অর্থ কোথায় যায়
Coin Moebius একটি সফটওয়্যার, কোনো পেমেন্ট প্রসেসর নয়। অর্থ আমাদের মধ্য দিয়ে যায় না, আর আমরা কখনো এর হেফাজত নিই না।
একজন ক্রেতা Stripe-এর মাধ্যমে অর্থ দিলে, তহবিল আপনার Stripe অ্যাকাউন্টে জমা হয়। NOWPayments-এর মাধ্যমে দিলে, আপনার NOWPayments অ্যাকাউন্টে জমা হয়। ডাকযোগে দিলে, আপনার মেইলবক্সে পৌঁছায়। কোনো পর্যায়েই Coin Moebius সেই প্রবাহের মাঝখানে মার্চেন্ট অফ রেকর্ড হিসেবে বসে না।
পরিচালনাগতভাবে, এর দুটি পরিণতি আছে। আমরা কোনো মানি ট্রান্সমিটার নই, তাই গ্রাহক তহবিল রাখার সাথে আসা নিয়মকানুনের আওতায় আমরা পড়ি না। আর আপনার প্রোভাইডার অ্যাকাউন্ট কখনো জমাট হলে, Coin Moebius-এর উপর একমাত্র বাস্তব প্রভাব হলো আপনার ড্যাশবোর্ডে সংশ্লিষ্ট রেলটি নীরব হয়ে যায়। আপনার অন্য রেলগুলো চলতে থাকে, আর আমাদের ব্যাপারে কিছুই উজানের জমাটকে আরও খারাপ করে না।
আপনি যখন খুশি চলে যেতে পারেন
পুরো পণ্যটি একটি ওপেন-সোর্স SDK-তে চলে যা আমাদের ছাড়াই কাজ করে।
ওপেন-সোর্স SDK হলো ভারবহনকারী অংশ। এটি সিগনেচার যাচাই সামলায়, বাই বাটন চালায়, আর প্রোভাইডারদের সাথে কথা বলে। Cloud হলো এর উপরে একটি হোস্টেড ওয়েবহুক, একটি ড্যাশবোর্ড, আর একটি এনক্রিপ্টেড সিক্রেট স্টোর। সুবিধা, আটকে রাখা নয়।
আমরা কাল বন্ধ হয়ে গেলেও, যতক্ষণ আপনি SDK-কে অন্য কোথাও নির্দেশ করেন ততক্ষণ আপনার সাইট চলতে থাকে। বেরোনোর মতো কোনো মালিকানাধীন ফরম্যাট নেই, প্রবেশ হারানোর মতো কোনো ক্রেতা ডেটাবেস নেই, আর আপনাকে এখানে আটকে রাখার মতো কোনো চুক্তিভিত্তিক ন্যূনতম নেই।
এটি কোথায় চলে
আমাদের স্ট্যাকের তৃতীয়-পক্ষ পৃষ্ঠগুলোর একটি ছোট তালিকা। আমরা প্রতিটি ইচ্ছাকৃতভাবে বেছেছি, আর প্রতিটি প্রতিস্থাপনযোগ্য।
- Cloudflare Pages (মার্কেটিং + ড্যাশবোর্ড হোস্টিং)
- Cloudflare Workers (API, ওয়েবহুক রিসিভার)
- Cloudflare D1 (ডেটাবেস)
- Cloudflare R2 (অবজেক্ট স্টোরেজ, যখন দরকার)
- Cloudflare KV (রেট-লিমিট + ক্যাশে)
- WorkOS AuthKit (কেবল মার্চেন্ট সাইন-ইন)
- Stripe (কার্ড, আপনার অ্যাকাউন্ট)
- NOWPayments (ক্রিপ্টো, আপনার অ্যাকাউন্ট)
- Resend (মার্চেন্টদের কাছে লেনদেন ইমেইল)
মার্কেটিং সাইটে বা ড্যাশবোর্ডে কোনো তৃতীয়-পক্ষ অ্যানালিটিক্স নেই। কোনো সেশন রিপ্লে নেই। কোনো বিজ্ঞাপন পিক্সেল নেই। কোনো অনুরোধ প্রথমবার Cloudflare-এর এজ ছেড়ে অন্য কারো সার্ভারে যায় তখনই যখন আপনার হয়ে তা আপনার পেমেন্ট প্রোভাইডারে যায়।
একটি নিরাপত্তা সমস্যা রিপোর্ট করা
আপনি যদি মনে করেন একটি দুর্বলতা খুঁজে পেয়েছেন (SDK-তে, Cloud-এ, ড্যাশবোর্ডে, বা এই মার্কেটিং পৃষ্ঠাগুলোর যেকোনো জায়গায়), তাহলে সাবজেক্ট লাইনের কোথাও "security" রেখে [email protected]-এ লিখুন।
আমরা দুই কর্মদিবসের মধ্যে নিরাপত্তা রিপোর্ট স্বীকার করার এবং ত্রিশ দিনের মধ্যে একটি ফিক্স বা সমাধান পাঠানোর লক্ষ্য রাখি। আমরা বর্তমানে কোনো পেইড বাগ-বাউন্টি প্রোগ্রাম চালাই না। যারা সৎ-বিশ্বাসে রিপোর্ট করেন এবং কৃতিত্ব চান তাঁদের আমরা প্রকাশ্যে কৃতিত্ব দেব, আর প্রমিত দায়িত্বশীল-প্রকাশ রীতির অধীনে সৎ-বিশ্বাসে কাজ করা গবেষকদের বিরুদ্ধে অবশ্যই কোনো আইনি ব্যবস্থা নেব না।
অনুগ্রহ করে নিরাপত্তা সমস্যা পাবলিক GitHub ইস্যু হিসেবে দাখিল করবেন না; প্রজেক্ট রিপোজিটরি কোডের জন্য, দুর্বলতা যাচাইয়ের জন্য নয়।
ওয়ারেন্ট ক্যানারি About পৃষ্ঠায় থাকে
এটি একটি প্রামাণিক জায়গায় থাকা উচিত যাতে এটি অদৃশ্য হলে সহজে চোখে পড়ে।