安全与合规

所有数据均在静态（AES-256）和传输过程中（TLS 1.2+）加密。API 密钥使用 bcrypt 进行哈希处理。绝不以明文存储任何机密信息。

遵循最小权限原则的基于角色的访问控制。支持 API 密钥作用域限定、IP 白名单，以及面向企业版的 SSO/SAML。

区域数据隔离确保您的访客数据留存在您选定的区域（欧盟或美国）。数据绝不与第三方共享。

针对所有 API 访问、配置变更和管理操作的全面审计记录。日志可导出以供合规审查。

全天候监控并自动告警。有据可循的事件响应手册，具备清晰的严重程度分级和上报路径。

面向外部安全研究人员的负责任披露计划。第三方渗透测试已列入我们 SOC 2 准备工作的计划。