安全性

私鑰與憑證金鑰

• 三種金鑰模式，由你決定私鑰放在哪裡

  「平台代管」：私鑰由平台產生並加密存放。「自備 CSR」：金鑰你自己產生，私鑰完全不經過平台。「Agent 模式」：金鑰由你機房裡的 Agent 產生、留在你自己的機器上，永遠不會上傳到平台。

• 平台代管的私鑰預設不能下載

  要由我們的管理員針對該客戶明確開啟；開啟後每一次下載都會寫進稽核紀錄。

• 存放的憑證與密鑰都是加密的

  你的 DNS／CDN 帳號憑證、平台代管的私鑰、兩步驟驗證的密鑰、通知管道的網址與金鑰，都以加密欄位存放，畫面和 API 不會再把它們顯示出來。

登入與存取控制

• 兩步驟驗證

  支援驗證器 App 與備援碼。擁有者可以要求整個團隊都必須啟用；平台員工一律必須。

• 固定的角色，逐項定義權限

  擁有者、admin、operator、billing、viewer 五種角色，各自的權限是一份可以逐條審閱的清單，沒有自訂角色。每一條 API 路由都必須宣告它需要的權限，否則自動測試會讓建置失敗。

• 登入保護

  密碼至少 10 個字元且含英文字母與數字；連續登入失敗、密碼重設與兩步驟驗證的錯誤嘗試都有次數限制；可以隨時「登出所有其他裝置」。

• 閒置登出與來源網路限制（擁有者可選）

  擁有者可以設定閒置多久自動登出（5 分鐘到 12 小時，頁面在背景自動更新不算操作），也可以限制只有哪些網路能登入；不在清單裡的網路連登入都不行，帶著登入狀態換到別的網路也不能用。兩者預設都沒開，不設閒置時間時，登入最長維持 24 小時。我們判斷來源網路的依據是 Cloudflare 提供的來源 IP。

• 資料依帳號隔離

  一個帳號的資料只有該帳號底下的登入看得到。平台員工也依角色劃分（客服、財務、維運各自只有需要的權限）。

自動化與變更管理

• API 金鑰

  只能做你勾選的事，而且不會超過建立它的人的權限；可設定到期日與來源 IP 範圍；建立者離開團隊時，他建立的金鑰會一起失效。金鑰不能用來管理團隊、方案、其他金鑰或通知設定。

• 訂單核准

  可以要求 operator 與 API 金鑰提出的訂單，先經擁有者或 admin 核准；核准之前不會下單，也不會扣款。可以設金額門檻（不超過的免核准），也可以讓萬用字元憑證一律要核准。

• 內網代理程式的安裝包有簽章

  安裝包除了 sha256 校驗碼（它和安裝包放在同一個伺服器，只能確認下載沒有損壞），還有一份簽章：我們用一把不在伺服器上的金鑰簽署校驗碼檔案，你可以用 ssh-keygen -Y verify 驗證，即使放安裝包的伺服器被人動過手腳也驗得出來。儀表板的下載旁有可以直接貼上的指令。簽章金鑰的指紋是 SHA256:pqNFWae2SrILYLQUYUDw5rr9gg86INCU+emafkAe40k，第一次請另外記下來，之後每次下載都比對；金鑰如果更換，我們會在這一頁公告。

• 稽核紀錄

  登入、密碼與兩步驟驗證的變更、成員與角色、API 金鑰、私鑰下載、訂單核准等都會記下來。你可以在畫面上查看、匯出 CSV，也可以用 API 金鑰定期拉取。

• 通知

  憑證到期、部署失敗等可以送到 Email、Slack、Teams、Telegram、LINE 或你自己的 webhook；跟帳號安全有關的事件（兩步驟驗證、API 金鑰）一定會寄到登入信箱。

傳輸與應用程式安全

• 加密傳輸

  網站與 API 都經過 Cloudflare：使用 TLS 1.3，不接受 TLS 1.0／1.1，並啟用 HSTS。

• 安全標頭

  網站有嚴格的 Content-Security-Policy 與其他安全標頭；API 預設不允許載入任何內嵌內容。

• 對外的 API 文件只列出金鑰能用的端點

  管理端點與內部端點不會出現在公開的文件裡。

弱點管理

• 自動掃描

  每次提交程式碼都會掃描相依套件的已知弱點（Python、Node、Go）和程式碼與歷史紀錄裡有沒有洩漏的機密；每週掃描一次正式環境的容器映像；Dependabot 會自動提出更新。

• 修補時效（目標）

  嚴重的弱點，我們的目標是 7 天內修復並部署；7 天內修不了的，先加上緩解措施。高 30 天、中 90 天、低在下一次例行更新。這是目標，不是合約裡的服務水準；沒達到的我們會寫下原因。

• 資安事件與通知

  我們有書面的應變計畫：事件分級、遏制與保全證據、密鑰輪換、事後檢討。確認事件影響到客戶的資料後，我們的目標是 72 小時內通知受影響的客戶，說明發生了什麼、哪些資料、我們做了什麼，以及你需要做什麼。這份計畫還沒有演練過。

• 通報管道

  發現問題請私下通知我們（見最下方），我們的目標是 3 個工作天內回覆，修好之後會告訴你。

資料處理與第三方

• 憑證機構

  我們代你向憑證機構下單（透過 GoGetSSL），所以訂單相關的資料（網域、聯絡人、組織資訊）會送給 GoGetSSL 與簽發憑證的機構。

• 基礎服務

  Cloudflare 負責網站與 API 的前置（TLS、流量防護）；Resend 負責寄送通知信。

• AI 客服

  站內的 AI 客服由我們自己的主機運行，對話不會送到外部的 AI 服務。轉給真人處理時，該段對話會轉到我們的 Telegram 客服群組。

• 你自己設定的通知管道

  Slack、Teams、Telegram、LINE 等只會收到你設定要送的通知內容。

資料匯出與刪除

• 匯出：擁有者隨時可以自己下載

  帳號與團隊成員、訂單與憑證、帳務紀錄、整合清單、API 金鑰的紀錄、稽核紀錄，一個 JSON 檔。檔案裡不會有私鑰、憑證、密碼、登入憑證或兩步驟驗證的密鑰。

• 刪除：提出申請，確認身分後由我們執行

  目前沒有自助刪除的按鈕，因為帳號裡可能還有餘額或尚未到期的憑證，需要先跟你確認。刪除時：團隊成員、登入、API 金鑰、DNS／CDN 憑證、Agent、通知管道、客服對話、稽核紀錄、私鑰與憑證內容都會刪掉；依規定必須保留的帳務紀錄會保留，但去掉個人資訊與所有密鑰。備份裡的資料會隨備份輪替消失。

還沒有、規劃中的