보안

판매자는 배송 데이터, 고객 주소, 운송사 계정 접근 권한을 ExperShip에 맡깁니다. 이 페이지에서는 당사가 이 데이터를 어떻게 보호하는지, 그리고 웹사이트, 앱 또는 API에서 보안 문제를 발견했을 때 어떻게 알려 주시면 되는지 설명합니다.

보안에 대한 접근 방식

당사는 보안을 실용적으로 관리합니다. 주문 배송에 필요한 데이터만 수집하고, 전송 중과 저장 시 모두 보호하며, 접근할 수 있는 사람을 제한하고, 문제를 발견하면 신속하게 수정합니다. 보유하지 않은 보안 인증을 보유했다고 주장하지 않습니다. 보안 검토를 위해 자세한 내용이 필요하시면 문의해 주세요.

데이터 보호

• 전송 중 암호화. 고객님의 브라우저나 코드와 ExperShip 사이의 트래픽은 TLS(HTTPS)로 암호화됩니다.
• 저장 시 암호화. 당사의 데이터베이스, 파일 저장소, 백업은 저장 시 암호화됩니다.
• 데이터 최소화. 당사는 서비스 제공에 필요한 배송, 통관, 계정 데이터를 수집합니다. 무엇을 왜 수집하는지는 개인정보 처리방침 페이지에서 확인하실 수 있습니다.

인프라

ExperShip 앱, API, 이 웹사이트는 Amazon Web Services(AWS)의 US East(N. Virginia) 리전에서 운영되므로 고객 데이터는 미국에 저장됩니다. 당사가 기반으로 삼는 인프라의 물리적 보안, 네트워크 보호, 데이터 센터 통제는 AWS가 제공합니다.

계정 보안

• 비밀번호. 비밀번호는 솔트가 적용된 해시로만 저장하며, 절대 평문으로 저장하지 않습니다. ExperShip의 누구도 고객님의 비밀번호를 볼 수 없습니다.
• 2단계 인증. ExperShip 계정용 2단계 인증(2FA)은 로드맵에 포함되어 있습니다. 제공되기 전까지는 고유하고 강력한 비밀번호가 가장 좋은 보호 수단입니다.
• 고객님이 하실 일. 고유하고 강력한 비밀번호를 사용하고, 로그인 정보를 팀원과 공유하지 마세요. 앱이 지원하는 경우 각 사용자에게 개별 접근 권한을 부여하세요.

API 보안

ExperShip API는 API 키로 인증합니다. 계정을 안전하게 지키려면:

• API 키를 비밀로 유지하세요. 서버에 보관하고, 브라우저 코드, 모바일 앱, 공개 저장소에는 절대 두지 마세요.
• 키가 노출되었다고 생각되면 즉시 교체하고, 평소에도 습관적으로 주기적으로 키를 교체하세요.
• API는 HTTPS로만 호출하세요.

ExperShip은 테스트 키와 라이브 키를 따로 제공하므로 실제 배송을 만들지 않고도 개발하고 테스트할 수 있습니다. 대시보드에서 직접 키를 교체할 수 있고, 남용으로부터 서비스를 보호하기 위해 API에 요청 한도가 적용되며, 웹훅에는 서명이 포함되어 있어 서버가 처리하기 전에 이벤트가 실제로 ExperShip에서 왔는지 확인할 수 있습니다.

결제

카드 정보는 당사의 결제 대행사가 처리합니다. 당사는 ExperShip 시스템에 전체 카드 번호를 저장하지 않습니다.

접근 통제

운영 시스템과 고객 데이터에 대한 접근은 업무상 필요한 사람으로 제한되며, 더 이상 필요하지 않으면 회수됩니다.

백업 및 사고 대응

문제가 발생해도 복원할 수 있도록 고객 데이터를 정기적으로 백업합니다. 보안 사고가 고객님의 데이터에 영향을 미치면 당사는 이를 조사하고 확산을 막으며, 법률에서 요구하는 바에 따라 영향을 받은 고객에게 알립니다.

ExperShip 계정이 침해되었다고 생각되면 비밀번호를 변경하고 API 키를 교체한 뒤, 즉시 info@expership.com 주소로 이메일을 보내 주세요.

하위 처리자

당사는 클라우드 호스팅, 이메일 발송, 결제 처리 등 ExperShip 운영을 위해 소수의 서비스 제공업체를 이용합니다. 제공업체의 유형과 그들이 받는 정보는 개인정보 처리방침의 고객 정보의 공유 방식 항목에 나와 있습니다.

취약점 공개 정책

보안 연구자와 고객의 신고를 환영합니다. 취약점을 발견하시면, 악용되기 전에 수정할 수 있도록 비공개로 알려 주세요.

범위

• expership.com 및 www.expership.com
• app.expership.com
• ExperShip API

범위 제외: 자체 공개 프로그램을 운영하는, 당사가 이용하는 제3자 서비스(예: 운송사, 호스팅 제공업체, 결제 대행사), 그리고 실제로 작동하는 익스플로잇 없이 권장 보안 헤더가 누락된 경우처럼 보안 영향이 없는 신고.

신고 방법

info@expership.com 주소로 제목을 "Security report"로 하여 이메일을 보내 주세요. 다음 내용을 포함해 주세요.

• 문제에 대한 설명과 예상되는 영향.
• 영향을 받는 URL, 엔드포인트 또는 기능.
• 재현을 위한 명확한 단계, 가능하면 스크린샷이나 간단한 개념 증명(PoC).
• 후속 질문을 위한 연락 방법.

당사의 약속

선의로 신고하고 아래 규칙을 지켜 주시면 당사는 다음을 약속합니다.

• 신고 접수를 확인하고 검토 중임을 알려 드립니다.
• 문제를 조사하고 수정하는 동안 진행 상황을 계속 알려 드립니다.
• 이 정책을 따르는 보안 연구에 대해 법적 조치를 취하지 않습니다.

참여 규칙

• 문제를 입증하는 데 필요한 최소한을 넘어 본인 소유가 아닌 데이터에 접근하거나 이를 변경 또는 삭제하지 마세요. 개인정보에 접근하게 되면 즉시 중단하고 알려 주세요.
• 서비스 거부(DoS) 테스트나 다른 사용자의 서비스 품질을 떨어뜨리는 어떠한 행위도 하지 마세요.
• ExperShip 직원이나 고객을 대상으로 한 사회공학 기법이나 피싱은 금지됩니다.
• 사무실, 데이터 센터 또는 사람에 대한 물리적 공격은 금지됩니다.
• 본인 소유이거나 사용 권한이 있는 계정만 사용하세요.
• 공개하기 전에 문제를 수정할 수 있는 합리적인 시간을 주시고, 공개 시점은 당사와 협의해 주세요.

현재 유료 버그 바운티 프로그램은 운영하지 않습니다.