首页 > 服务市场 > 服务商文档 > 第三方服务安全开发规范

第三方服务安全开发规范

为保证京东用户信息安全,特制订针对第三方接入商(ISV)及自研商家的接入安全要求

帐号部分

能识别帐号异常登录(被盗/撞库、异地登录),并采取手机验证码等方式确保帐号登录安全;当用户名或密码错误时统一展示:用户名或密码不正确; 发生过异常登录,系统应以合适方式提示用户异常信息

系统、应用、数据库帐号口令要求满足一定的长度和复杂度,确保口令强度(口令不能为空、不能为默认、不能少于8位、应该有字母大小写、数字、特殊符号,不能与身份信息关联)

帐号口令应定期更换;每次更换不能与前三次密码有重复

口令重置应该有较强的身份校验机制,避免被轻易更改口令导致帐号丢失

严禁多人共享同一个帐号

帐号超过一定时间不用、多余帐号等情况,系统应及时回收

人员离职或转岗时应及时回收帐号或更改帐号权限

 

权限管理

所有会话具备超时退出机制

登录时用户身份鉴别,包括用户名密码/短信/语音/邮件/UKey等;尤其管理端外部可访问时,要提供账号密码外的其他二次身份验证方式

帐号异常时,应触发用户验证机制,通过两个和以上的方式验证用户身份

 

审计管理

系统应记录用户行为日志:帐号、appkey、源IP、时间、行为类型、行为内容(操作的订单标识)等

系统应上传用户行为日志到京东云平台:所有的行为日志(包括但不限于登录/退出、更改帐号、订单查看、管理、导出、敏感信息查询等);行为日志格式参考前一条

系统应上传ISV软件与其它系统订单交互日志:包括但不限于帐号、appkey、应用名、时间、订单标识

所有日志留存时间不低于6个月,敏感数据访问的日志保留时间不少于1

系统保护所有日志不会发生因误删除、格式化、覆盖等原因导致的无法找回

 

数据安全

敏感数据必须采用安全的加密方式进行存储和传输

系统前端展示部分对用户敏感信息应该进行打码等遮盖方式处理

用户如查询,则应该记录详细查询日志,包括但不限于查询帐号、时间、IP、查询订单标识等

对于可批量下载导出(订单、面单)等功能,需要进行手机短信验证功能,验证后方可下载(并记录日志)

数据不得从ISV软件传递到第三方软件;关于ISV及自研商家对接的第三方仓储问题以及传递数据给其他任意第三方公司,如有此类需要ISV及自研商家需要到我司备案; 签署特殊保密协议

所有ISV及自研商家不允许给第三方快递公司传送敏感数据(包含但不限于手机号、订单明细、非保价订单价格、京东用户名等), 只建议传送订单姓名、订单地址、订单重量

帐号密码应采用不可逆加密

建议ISV系统部署到安全的云环境,如京东云

 

应用及数据库安全

开发者要遵循安全开发原则,防止因为SQL注入、XSS、文件上传、越权查询等漏洞导致数据泄漏

开发者要定期对应用进行安全检查和扫描,并上报安全报告

如发现漏洞,开发者要尽快完成漏洞修复;

修复时间:严重:小时级,小于1天;高危:3天;中危:7天;低危:14

ISV不得有任何商家未授权情况下获取账号、修改密码、访问数据等行为

数据库应有备份功能,确保数据在意外发生时可以进行数据恢复

数据库禁止外部直接连接和访问

数据库具备一定的控制能力,防止批量数据获取,如一次超过50条。

 

主机安全

具备数据恢复能力,在业务发生故障后,如主系统数据损坏,能快速恢复

所有应用、框架都必须使用最新稳定版可在各组件版本官网下载最新版本,禁止使用带有安全问题的老版本;

(包括但不限于struts2版本、discuz低版本、openssl版本不低于1.0.2g或者1.0.1s);

不得暴露445135137138139等高风险端口;服务器只能开放80,443端口

主机上不允许部署FTP系统或服务。如有需要请联系京东进行备案

主机可设置访问规则,只允许特定的设备(MAC)、IP访问

主机不应该使用默认帐号的默认密码;系统投入使用后必须确保密码具备足够的安全强度;口令不能为空、不能为默认、不能少于8位、应该有字母大小写、数字、特殊符号,不能与身份信息关联

 

运维平台

ISV系统上线后应该有专门的运维平台。应限制随意系统接入后台。

运维平台在内网,外网不能直接登录,需通过VPN接入

管理员可设置运维平台白名单,只允许特定的IP、帐号登录

运维平台应该有查杀病毒的软件或系统;管理员应定期进行病毒查杀

3个月到半年定期更新管理员密码;管理员密码要满足安全强度要求;口令不能为空、不能为默认、不能少于8位、应该有字母大小写、数字、特殊符号,不能与身份信息关联

管理员应及时给系统打补丁

 

安全应急响应

ISV服务商应提供相应的安全接口人给京东,与京东安全对接

安全接口人应对发生的安全事件,按照京东的安全响应要求进行响应,如重大漏洞事件后应及时修复安全漏洞

ISV服务商应制定应急响应规范和处置流程,组建应急响应团队,有明确的角色和责任人

ISV服务商应对京东安全标准进行确认,满足京东安全标准才能入驻京东服务市场

ISV服务商应不低于每年一次的频率对自身系统进行安全检查。并根据实际情况不定期进行检查。

ISV服务商有义务对自身系统所用的web系统架构、数据库系统进行报备,包括采用的软件名及版本信息

 

 

1. 漏洞严重级别定义参考:https://security.jd.com/#/notice/194

2. 敏感信息脱敏参考

部分隐私或机密数据实例

推荐展示规范

1) 身份证号/军官证号/护照号

身份证号

显示前 1 位+ *(实际位数)+后 1 位,如:5****************9

最低要求

6和后4

军官证号,护照号:

使用缺省信息隐藏规则

2)姓名

如果要隐藏,隐藏第一个字

3) 手机号

如需要部分隐藏,区号不算,隐藏中间四位

大陆:显示前 3  + **** +  4 位。如:137****9050

香港、澳门:显示前2位+****+2位。如:90****85

台湾:显示前2位+****+3位。如:90****856

其他海外地区:使用缺省隐藏规则

4) 固定电话号码

如需要部分隐藏,推荐的规范:显示区号和后4

5) 邮箱

如需要部分隐藏,

@前面的字符显示3位,3位后显示3 *@后面完整显示如:con***@163.com

如果少于三位,则全部显示,@前加***,例如tt@163.com则显示为tt***@163.com

6)企业工商注册号

显示后三位

7)京东昵称

显示首/尾各1位,中间加**

例如:风**扬,m**d

3. 日志回传要求参考

ISV及自研商家可自调用接口 jingdong.isv.addisvlog 上传模板要求的操作日志内容!

https://jos.jd.com/api/detail.htm?id=961接口文档地址

isv接入项名称

描述

数据类型

是否必须

商家操作账号

商家的erp账号

string

商家操作账号

如当前账号为子账号,则分别回传主子账号

string

商家操作账号

商家ID

string

商家操作客户端ip

商家操作的客户端ip/CS架构软件需要回传公网IP及局域网IP加任意两个硬件设备ID

string

商家操作时间

时间戳

string

商家执行操作

如:登录、打印面单或预览、查询或导出订单(包含敏感信息)、手机号单独获取等涉及敏感信息的操作都要回传

string

appkey

isv软件在京东创建的app

string

操作url

isv软件调用京东jos发起的url

string

订单编号列表

操作涉及的订单编号

string

订单字段

操作涉及的订单字段

string