枯燥却至关重要的安全保障。

我们当前已提供的保障

• 短期访问令牌搭配一次性刷新令牌。若已轮换的刷新令牌被重复使用，将作为入侵信号撤销该会话。
• 面向 Webhook 集成的按账户签名密钥。您的签名密钥不会在工作区之间共享。
• 每个写操作接口都支持幂等密钥，确保重试操作安全无虞。
• 每一次工作区变更都留有审计记录（谁、何时、改了什么）。
• 按需提供数据导出/删除，遵循 GDPR 第 17 条 / CCPA 的删除权利。

正在推进的项目

• 面向工作区所有者的 TOTP 双重认证——目前正在陆续上线。
• SOC 2 Type I——相关控制措施已经落实；我们会在有客户需要该认证时聘请审计机构。在此期间，我们很乐意提供控制措施文档。
• 面向拥有中央身份提供商的运营商的 SAML / OIDC SSO——已规划。

发现漏洞？发邮件至 [email protected]。我们在工作日内会在四小时内进行分诊处理。目前尚无漏洞赏金计划，但负责任的披露将获得公开致谢（可选加入）以及我们的诚挚感谢。

请不要对生产环境运行自动化扫描工具——我们能察觉到，这会拖慢真正的分诊处理速度。针对您自己工作区的时间点测试是可以的。

分包处理商

一小部分供应商协助运营该平台。每家供应商都与我们签署了数据处理协议（DPA），并因其安全记录而被选用。当前名单可应要求提供——请发邮件至 [email protected]。