平台安全

经过验证的客户间隔离、强化的身份认证、端到端加密、边界防护、加密备份与全程可追溯。

Oct 12, 2026

按客户隔离

平台采用多租户架构，并实行严格的逻辑隔离：每一次读取和写入，在数据层和应用层都限定在您账户的标识符范围内。任何其他客户的账户都无法看到或访问您的信息，也不存在面向用户的全局查询。

持续验证，而非口头承诺。自动化守护程序定期检查生产环境，查找任何可能导致账户之间信息混合的配置，并将结果报告至平台运行状态监测。隔离不是假定的，而是经过测量的。
公开接口（表单、小组件、Webhook）保持在最低限度，并通过令牌或限定范围的标识符进行认证；其他所有操作都需要已认证的会话。
所有变更在发布到生产环境之前，都会先在独立的工作环境中准备和测试。

密码不可恢复。密码仅以加盐的单向加密哈希（bcrypt）形式存储。任何人，包括 OMB 团队，都无法读取或还原密码。
最小权限角色。所有者、管理员和用户三种角色，并按模块分配权限：每位成员只能看到其职责所需的内容。
强化的会话安全。Cookie 启用 Secure、HttpOnly 和 SameSite 属性；“保持登录”功能使用分段令牌，每次使用都会轮换，并以恒定时间进行比对，因此即使旧 Cookie 被盗，也无法进入账户。
双重身份验证可供有需要的账户使用；通行密钥（passkeys）正在逐步推出，并将作为首选方式，因为其设计本身即可抵御网络钓鱼。
按模块加强验证。对于您标记为敏感的模块，即使会话已经登录，进入时也可要求额外验证，做法与网上银行一致。

层级	技术	说明
传输中	TLS	所有通信均加密传输：门户、API、小组件和集成。
机密与凭据	AES-256-GCM	邮箱密码、集成密钥以及客户托付的凭据均以带完整性认证的方式加密存储。主密钥存放在代码仓库之外，也不在 Web 服务器的访问范围内，权限严格受限，并可在不丢失数据的前提下轮换。
客户保险库	AES-256-GCM	客户托付给平台的第三方门户凭据仅以加密形式存在，正常运营中不经人工读取，并可应要求永久删除。
用户密码	bcrypt	加盐单向哈希，不存在任何解密的可能。
已签署文件	SHA-256 + RFC 3161	每份已签署的合同都与其加密指纹绑定，并加盖加密时间戳。

基础设施层面的防火墙，并由 Web 服务器屏蔽所有敏感文件（配置、日志、备份、版本控制）：这些文件无法从互联网访问。
会话存储位于公开目录之外，权限严格受限。
每日备份，经过验证并加密。每份数据库备份在保存前都会经过验证（未通过验证的备份不会作为有效备份保存），并使用专用密钥以 AES-256 加密；该密钥不同于运营密钥，保管在代码仓库和备份目录之外。
备份不会侵犯您的隐私。备份仅用于恢复，绝不用于查询。加密保险库中的信息在进入备份时已用您的密钥加密，即使在备份中也无法读取。备份最长保留 14 天，因此被删除的数据也会在此期限内从备份中消失。
持续监测平台运行状态，并进行异常检测。