Cam kết bảo mật

MONA không bao giờ tiết lộ dữ liệu của bạn

Hệ thống đứng sau MONA Pay thu tiền cho chính MONA từ 2022, rồi mới thu cho khách hàng của MONA trong web và phần mềm đội MONA giao. Dữ liệu tiền vào tiền ra là chuyện làm ăn riêng của từng doanh nghiệp, và các cam kết dưới đây là cách hệ thống được thiết kế từ ngày đầu.

Trải nghiệm miễn phíChính sách bảo mật

Lời hứa của đội MONA

Những cam kết bảo mật MONA Pay giữ với bạn

Mỗi cam kết gắn với một cách hệ thống được dựng, không phải một điều khoản thêm vào sau. Phần kỹ thuật công bố công khai để lập trình viên của bạn tự kiểm.

  1. Tiền không đi qua MONA Pay

    Khách của bạn chuyển thẳng vào tài khoản ngân hàng đứng tên bạn. Đội MONA không giữ tiền, không chạm vào tiền, không có quyền rút hay chuyển. Một ngày bạn ngừng dùng MONA Pay, tài khoản ngân hàng và tiền vẫn y nguyên, không phải chờ đối soát, không phải xin rút.

  2. Không bao giờ tiết lộ dữ liệu của bạn

    Dữ liệu giao dịch của bạn chỉ dùng cho đúng một việc: báo có về website, phần mềm và nhóm Telegram của chính bạn. Đội MONA không bán, không chia sẻ, không đưa cho bên thứ ba nào, không dùng để chạy quảng cáo hay phân tích chào hàng.

  3. Không cần mật khẩu ngân hàng của bạn

    Nối tài khoản chỉ cần số tài khoản, số điện thoại đăng ký với ngân hàng và 2 mã OTP ngân hàng gửi thẳng về điện thoại bạn. MONA Pay không bao giờ hỏi mật khẩu app ngân hàng, và về mặt kỹ thuật cũng không đăng nhập được vào tài khoản ngân hàng của bạn.

  4. Tin báo có giả mạo không lọt được

    Mỗi gói tin MONA Pay gửi về website của bạn đều ký bằng HMAC-SHA256 với khoá bí mật riêng của bạn, tin cũ quá 5 phút bị từ chối. Không ai giả được lệnh "đã thanh toán" để lừa kho xuất hàng.

  5. Tài khoản quản trị có xác thực 2 lớp

    Dashboard my.monapay.vn bật được xác thực 2 lớp: đăng nhập cần thêm mã từ điện thoại của bạn. Lộ mật khẩu cũng không ai vào xem được sổ giao dịch.

  6. Lỗ hổng được tiếp nhận công khai

    Quy trình báo lỗ hổng công bố tại monapay.vn/.well-known/security.txt. Ai phát hiện vấn đề gửi về [email protected], đội MONA xác nhận trong 2 ngày làm việc và xử lý tới nơi, vì hệ thống này thu tiền cho chính MONA trước khi thu cho bạn.

Dữ liệu

MONA Pay lưu gì và không bao giờ có gì

Tóm từ chính sách bảo mật cập nhật 29/08/2026. Bạn đóng tài khoản thì đội MONA ngắt kết nối ngân hàng, xoá cấu hình và dữ liệu giao dịch trong vòng 30 ngày.

Lưu để báo có cho bạn

  • Tài khoản MONA PayTên đăng nhập, tên hiển thị, thông tin liên hệ bạn tự nhập. Mật khẩu lưu dạng băm, không đọc lại được.
  • Thông tin nối ngân hàngSố tài khoản, tên chủ tài khoản, số điện thoại nhận OTP, đầu số tài khoản ảo.
  • Thông báo giao dịchSố tiền, thời gian, nội dung chuyển khoản, mã giao dịch: đúng phần cần để khớp đơn và báo cho bạn.
  • Cấu hình bạn tự đặtĐịa chỉ webhook, khoá ký HMAC, nhóm Telegram, mẫu tin nhắn. API key lưu dạng băm.

Không đi qua, không lưu ở MONA Pay

  • Tiền của bạn và của khách bạn
  • Lệnh chuyển tiền, rút tiền
  • Mật khẩu app ngân hàng
  • Mã OTP (chỉ đi qua để xác thực với ngân hàng, không lưu)
  • Thông tin thẻ
  • Số dư, sao kê ngoài thông báo giao dịch tới tài khoản đã nối

Cho lập trình viên

Webhook ký số để website tự nhận ra tin giả

Địa chỉ webhook là địa chỉ công khai, ai đoán được cũng gửi được một gói “đã nhận 50.000.000đ”. Mỗi gói thật của MONA Pay mang chữ ký tính từ khoá bí mật chỉ bạn và MONA Pay biết, website so chữ ký là loại được gói giả.

  • Chữ ký HMAC-SHA256Tính từ khoá bí mật của bạn và nội dung gói tin. Khoá không bao giờ đi trên đường truyền.
  • Chống phát lại 5 phútGói có X-Mona-Timestamp lệch quá 300 giây bị từ chối, bắt được gói cũ cũng không dùng lại được.
  • IP gửi cố địnhWebhook đi từ 103.168.55.14 (kiểm 28/08/2026), mở tường lửa đúng một địa chỉ.
  • Máy chủ tại Việt NamHạ tầng do The MONA Group vận hành, mọi kết nối mã hoá HTTPS.
Cách kiểm chữ ký webhooksecurity.txt
POST /webhook/monapay
Content-Type: application/json
X-Mona-Timestamp: 1756355400
X-Mona-Signature: sha256=3f2a9c…e71b

{ "amount": 2500000, "bank_name": "ACB",
  "transaction_code": "FT26240001234", … }
  1. 1Timestamp lệch quá 5 phút thì trả 400
  2. 2Tính lại HMAC-SHA256 từ khoá bí mật và nội dung gói
  3. 3Khớp chữ ký mới ghi đơn đã thanh toán, lệch thì trả 401
Ví dụ theo tài liệu webhook, số liệu minh hoạ

Bắt đầu với MONA Pay

Dùng thử rồi tự kiểm tra từng lời hứa

Tạo tài khoản miễn phí, nối ngân hàng bằng 2 mã OTP, tự soi từng gói tin có chữ ký. Thắc mắc chỗ nào gọi 1900 636 648, đội MONA trả lời thẳng.

Trải nghiệm miễn phíĐọc tài liệu tích hợp