လုံခြုံရေး မော်ဒယ်
CASTOVIA က သင်၏ operations, data, subscribers, နှင့် infrastructure ကို ဘယ်လိုကာကွယ်ပေးသလဲ။
Platform Security
SaaS Control Plane: Castovia သည် managed SaaS ဖြစ်သည်။ source code မပေးအပ်ပါ။ self-hosting option မရှိပါ။ infrastructure ကို Castovia က စီမံသည်။
Tenant Isolation: provider တစ်ခုချင်းစီသည် logically isolated tenant တစ်ခုအတွင်း လုပ်ဆောင်သည်။ provider များသည် အခြား provider များ၏ data, subscribers, streams, သို့မဟုတ် configuration ကို ဝင်ရောက်မရပါ။
RBAC (Role-Based Access Control): roles လေးမျိုးရှိသည်: super_admin, admin (provider), supplier, viewer. role တစ်ခုချင်းစီတွင် တင်းကြပ်စွာ ကန့်သတ်ထားသော permissions များရှိသည်။
Plan Enforcement: API-level soft + hard enforcement ပါသော 7-tier plan model။ အရေးကြီးသော commercial routes များတွင် hard enforcement သက်ရောက်နေသည်။
Authentication & Access
Password Security: Passwords များကို bcrypt ဖြင့် hash လုပ်ထားသည်။ admin/supplier accounts အတွက် plaintext storage မရှိပါ။
Node Authentication: provider nodes များသည် admin dashboard မှ သီးခြားလွတ်လပ်စွာ rotate လုပ်နိုင်သော scoped, per-node server tokens များဖြင့် authenticate လုပ်သည်။
Rate Limiting: brute-force attacks မဖြစ်စေရန် login, signup, contact forms, နှင့် API endpoints များကို IP အလိုက် rate-limit လုပ်ထားသည်။
Session Management: JWT-based sessions များကို 24 နာရီ သက်တမ်းကုန်ဆုံးချိန်ဖြင့် သတ်မှတ်ထားသည်။
Suspicious Activity Detection: သံသယဖြစ်ဖွယ် login ပုံစံများကို အလိုအလျောက် ရှာဖွေပြီး log လုပ်သည်။
Data Protection
No sourceUrl Exposure: internal stream source URLs များကို end-user devices သို့မဟုတ် client-side code တွင် ဘယ်တော့မှ မဖော်ပြပါ။
No storagePath Exposure: internal storage paths များသည် server-side တွင်သာ ရှိနေသည်။
Signed Playback URLs: Playback URLs များသည် အချိန်ကန့်သတ်ထားပြီး cryptographically signed လုပ်ထားသည်။ သက်တမ်းကုန်သွားသော URLs များကို ငြင်းပယ်သည်။
Signed Playback Metadata: end-user devices များသည် လုံခြုံသော metadata ကိုသာ ရရှိသည်။ internal infrastructure အသေးစိတ် မရှိပါ။
Audit Logs: accountability အတွက် administrative actions များကို log လုပ်ထားသည်။
CDN/DRM Credential Security
CDN API Keys: database အတွင်း encrypted လုပ်ပြီးသိမ်းထားသည်။ API responses တွင် ဘယ်တော့မှ မပြန်ပေးပါ။ UI တွင် redacted လုပ်ထားသည်။
DRM Secrets: encrypted လုပ်ပြီး သိမ်းထားသည်။ client devices များသို့ ဘယ်တော့မှ မဖော်ပြပါ။ application logs တွင် raw license secrets မရှိပါ။
No Origin Secret Exposure: CDN origin secrets များကို end-user devices သို့ ဘယ်တော့မှ မဖော်ပြပါ။
Stripe & Billing Security
Stripe Secret Key: server-side တွင်သာ ရှိသည်။ client-side code သို့မဟုတ် API responses တွင် ဘယ်တော့မှ မဖော်ပြပါ။
Webhook Signature Verification: Stripe webhook events အားလုံးကို processing မလုပ်မီ HMAC signature ဖြင့် အတည်ပြုသည်။
Idempotent Processing: double-processing မဖြစ်စေရန် webhook events များကို deduplicate လုပ်ထားသည်။
Publishable Key: client-side checkout flows တွင် publishable key (read-only) ကိုသာ အသုံးပြုသည်။
တရားဝင် အနေအထား နှင့် အလွဲသုံးစားကာကွယ်မှု
No Content Provision: Castovia သည် TV/video content ကို မပေး၊ မhost လုပ်၊ မဖြန့်ဝေပါ။ တရားဝင် content rights အတွက် provider များက အပြည့်အဝ တာဝန်ယူရသည်။
Abuse Reporting: အများပြည်သူသုံး abuse reporting mechanism ရှိသည်။ reports များကို ပြန်လည်စစ်ဆေးပြီး အရေးယူသည်။
Account Suspension: တရားမဝင် content ဖြန့်ဝေနေသော accounts များကို ဆိုင်းငံ့ရန် Castovia တွင် အခွင့်အရေးရှိသည်။
Log Preservation: သက်ဆိုင်ရာ logs များကို compliance အတွက် ဥပဒေအရ လိုအပ်ပါက သိမ်းဆည်းထားနိုင်သည်။
Acceptable Use Policy: provider အားလုံး သဘောတူရမည်။ ချိုးဖောက်မှုများသည် ချက်ချင်း ဆိုင်းငံ့ခံရနိုင်သည်။