安全说明

一、密钥是怎么管的

整套系统的信任锚不在我们的服务器上，而在你自己的设备上。具体是这样：

代价同样明确：这些密钥丢了就是丢了，我们找不回来。授权密钥丢失意味着你无法再批准或吊销设备，只能重建授权；所以请按控制台提示完成助记词备份。

二、业务数据为什么我们看不到

我们把系统拆成控制面与数据面，两侧的边界是结构性的一条：

这也解释了连接失败时我们为什么会直接报错而不是给你一个替代地址：我们没有能力在中间替你把流量接过去。

三、打洞辅助阶段能看到什么

默认的打洞辅助模式需要一台端点发现服务：Agent 发一个探测包，服务把观察到的源公网地址回送回来。这一步我们不转发任何报文，但会看到一点点元数据，我们把它列清：

换句话说，我们只能知道「某台 Agent 在某个时刻从哪个公网地址来问过路」，以及这次问路成功没有。你后来用它传了多少数据，我们既不转发，也无从统计。

完整的字段、用途与保存期限在隐私政策里逐条列出；不想让端点发现参与，可以改用直连模式（需要你自备可达的公网端点）。

四、账号与会话

• 没有密码。登录只有邮箱验证码一种方式（6 位数字、10 分钟内有效、只能用一次），因此不存在密码泄露、撞库或「忘记密码」这几类问题。
• 会话会自动轮换。访问令牌有效期 2 小时；客户端用它换取新的访问令牌，刷新凭据有效期 7 天且每次使用后轮换。
• 错误尝试会被限制。连续输错验证码 5 次会锁定该邮箱 15 分钟；邮件发送、注册与登录都有频率限制。
• 控制面操作留痕。批准、吊销、切换模式等操作会写入审计记录（时间、操作者、操作、资源、结果、来源地址），租户可导出。审计里没有业务数据，也没有私钥。

五、吊销与生效时间

• 吊销一台设备需要一条由你的授权密钥签名的指令，所以我们无法替你吊销，别人也无法用一条伪造指令把你的设备踢下线——或悄悄加回来。
• 生效时间取决于 Agent 的状态同步周期，默认 30 秒内应用变更并断开。因此请以控制台里 Agent 的回报为准：「指令已下发」与「已生效」是两件事。
• 管理员可以冻结整个租户：Agent 进入冻结态，切断现有路由、只放行解冻指令；恢复需要一条新的签名解冻指令，不支持自助恢复。
• 私钥不在我们手上，所以吊销不需要、也无法「更换服务器密钥」——受影响的只是那一台设备的公钥。

六、我们明确不承诺的事

• 不做「连元数据都不可见」这种做不到的承诺。打洞辅助阶段我们会看到上面列出的端点元数据，范围写在隐私政策里。
• 不提供流量转发兜底。对称 NAT 或没做端口映射时连接建不起来，我们不会偷偷把流量接过去——那等于放弃「看不到你的数据」这条承诺。
• 不采集支付信息，也不在你的页面里注入广告、跟踪脚本或第三方分析 SDK。
• 尚未提供等保三级、密评与私有化部署。如果你的场景强制要求这些，请先联系我们沟通，不要直接用在合规要求上。
• 尚未提供公开的 API 参考与自建端点发现服务的部署文档。

七、报告安全问题

如果你发现了安全问题，请写信到 [email protected]。请先私下告诉我们，给修复留一点时间，再决定是否公开。