安全是 融达虚拟信用卡的底线,不是营销话术
我们在用户的身份信息、卡号、资金账目上不取任何巧。下面是当前的具体做法,而非泛泛承诺。
加密
- ✓卡号 / CVV 等敏感字段:AES-256-GCM 字段级加密
- ✓密码:bcrypt 12 轮单向哈希,不可还原
- ✓传输:TLS 1.2+ 强制,HSTS preload
- ✓密钥独立保管 + 版本化(key_version),支持轮换
认证与会话
- ✓JWT 双层 session:数据库 sid + JWT payload
- ✓改密 / 注销 → 立即吊销所有 session
- ✓Admin 后台独立 cookie:sameSite=strict,8 小时 TTL
- ✓后续上线 TOTP 2FA(用户端 + Admin 端)
资金安全
- ✓复式记账:每笔交易借贷必平(SUM=0)
- ✓PostgreSQL 触发器 BEFORE INSERT 强制平衡校验
- ✓user_balance 触发器禁止负数(防超额扣费)
- ✓Admin 仪表盘自动告警 master_pool 差额
- ✓每日自动对账子账户 + 卡限额 + ledger 完整性
合规边界
- ✓上游持牌发卡机构
- ✓开卡前完善开卡人信息(合规要求)
- ✓严禁套现 / 黑五类 / 灰产 / 洗钱(违规立即冻结)
- ✓链上充值地址命中黑名单立即拦截
- ✓配合执法机关合法调查请求
审计
- ✓所有 admin 操作不可篡改审计日志(reason 必填)
- ✓用户敏感操作(改密、KYC 提交、卡注销)写 user_activity_log
- ✓上游 API 调用全量日志(api_logs 表)
- ✓审计日志保留 18 个月,KYC 5+ 年,交易 7 年
基础设施
- ✓香港 CN2 服务器(国内访问加速)
- ✓Cloudflare DNS + Bot Management
- ✓ufw 防火墙:只放 SSH 47131 / 80 / 443
- ✓SSH 仅 key auth + fail2ban
- ✓系统自动安全更新,关键服务 PM2 自重启
用户能做的 5 件事
平台做了 80%,你做最后这 5 件事,账户基本不会出问题。
- 密码用 8 位以上 + 字母数字符号组合,不要与其他网站重复;
- 邮箱用主邮箱(不要临时邮箱),3DS 验证码靠它送达;
- 开启 2FA(后续上线后);
- 分卡使用:广告户 / 订阅 / 海淘 用不同的卡,降低单点风控;
- 客服不会问你密码 / OTP / 卡号 — 凡是问的都是骗子。
报告安全问题
发现 融达虚拟信用卡任何安全漏洞、隐私问题或合规风险,请通过 [email protected] 报告。我们承诺:
- 24 小时内首响,48 小时内给出处理时间表;
- 修复后致谢公开列表(可选);
- 对负责任披露不追究法律责任(不包括恶意攻击);
- 关键漏洞额外感谢(具体金额视严重度面议)。
数据存储与备份策略
融达的数据存储采用"主-副-备份"三层架构,平衡可用性、容灾、合规要求:
- 主库:PostgreSQL 16,香港 CN2 节点。支持 100+ tps 写入,字段级 AES-256-GCM 加密。
- 只读副本:同节点 + 异地节点各一份。用于报表查询、对账,降低主库压力。
- 加密备份:每日自动备份至云存储,异地保留 90 天 + 月度归档 5 年。 备份文件单独加密(与主库密钥独立),即使云存储被攻破也无法解密。
- RTO / RPO:目标 RTO ≤ 4 小时(灾难恢复),RPO ≤ 15 分钟(数据丢失上限)。 每季度做一次完整灾难恢复演练。
账户安全的用户最佳实践
融达的平台安全只是一部分,用户侧的安全实践同样关键。强烈建议:
- ① 启用 2FA(两步验证)。账户设置 → 安全 → 启用 TOTP 验证(Google Authenticator / Authy)。 开启后即使密码泄露,攻击者也无法登录。
- ② 用强密码 + 不复用。融达密码与你其他平台的密码不要一样。 建议用密码管理器(1Password / Bitwarden)生成 16+ 位随机密码。
- ③ 每张卡设独立限额。日 / 月限额按实际预算 1.2 倍设置。 即使卡号泄露,损失上限可控。
- ④ 定期检查交易记录。每周看一次账户内交易明细,发现异常立即冻结卡 + 联系客服。
- ⑤ 警惕钓鱼。融达不会通过邮件 / 短信向你索取密码 / 短信验证码。 所有登录入口仅 rdvcc.com,确认 URL + HTTPS 证书。