Minh bạch
Sau vụ Honey bị cắt affiliate vì ghi đè attribution ẩn, Shopass chọn kiến trúc đối lập: bạn thấy rõ dữ liệu nào rời máy, và affiliate chỉ gắn khi bạn chủ động bấm.
Extension đọc gì
- Giá / ID sản phẩm công khai trên trang bạn đang xem
- Số lượng giỏ và mã voucher hiển thị (khi bạn bật đồng bộ)
Chi tiết máy: extension/DISCLOSURE.md.
Không bao giờ đọc
- Cookie phiên, mật khẩu, token sàn
- Email / SĐT / địa chỉ từ trang sàn
- Nội dung tab khác ngoài các host đã khai báo
Affiliate chỉ khi bạn bấm
Không cookie-stuffing. Guardrail tests trong repo chặn gắn tham số affiliate ngoài thao tác click tường minh (xem suite extension / affiliate khi R29 live).
Allowlist outbound
`host_permissions` + DNR allow rules đồng bộ với extension/src/shared/allowlist.ts (API: api.shopass.cyberskill.world, local 127.0.0.1:8080). Thêm host mới mà không cập nhật allowlist sẽ làm fail CI (R31).
Cách Shopass kiếm tiền
- Affiliate khi bạn click liên kết đủ điều kiện
- Gói Premium (cảnh báo / tính năng nâng cao)
Mã nguồn
Repo sản phẩm: cyberskill-official/shopass. Extension MIT; public mirror tách repo chờ R36.
Transparency (English)
Shopass never exfiltrates marketplace session cookies or passwords. Affiliate parameters attach only after an explicit click. Outbound API hosts are CI-gated via the shared allowlist. Vietnamese sections above are primary.