安全与隐私

托管与数据驻留

• 所有事件、visitor 和账户都存储在 AWS eu-west-1（爱尔兰），备份也一样。
• 该服务运行在托管的 AWS 服务（Lambda、DynamoDB、S3、CloudFront 以及用于邮件的 SES）和 ClickHouse Cloud 上，ClickHouse Cloud 在爱尔兰的 AWS 上保存事件和审计日志的可搜索副本。我们没有需要打补丁的自有服务器。
• 请求会先到达离访问者最近的 CloudFront 边缘节点（该节点可能位于欧盟以外），然后以加密方式转发至爱尔兰。
• IP 详细信息来自位于德国的 ipapi.is，该服务仅接收 IP 地址。

加密

• 发往 agent、API 和控制台的所有流量均使用 TLS。
• 数据库由 AWS 和 ClickHouse Cloud 进行静态加密。
• 密封结果使用您项目的密钥(AES-256-GCM)加密事件,因此浏览器无法读取或修改。由于 identify 使用该密钥进行密封,我们会生成并保存该密钥,并只向您展示一次:只有项目密钥的持有者才能打开密封结果。

密钥和机密

• Secret key 以 SHA-256 哈希形式存储，仅在创建时完整显示一次。
• 密钥带有前缀和校验和，因此泄露扫描器可以找到它们，且拼写错误无需查询即可被拒绝。
• Webhook 使用时间戳签名，因此您的服务器可以拒绝伪造和重放的调用。我们完整保存 webhook secret，因为我们使用它进行签名。

设计上就更少的数据

• 代理从不读取 WebRTC 网络地址，查询字符串和片段也从不离开浏览器。
• 标记和分数绝不会返回浏览器。零信任模式也会对浏览器隐藏 visitor ID，此时 agent 不会存储任何内容。
• 页面 URL 和 referrer 会以 origin 和路径、仅 origin 的形式保留，或完全不保留。

保留与删除

• 每个项目会保留事件30天、1年、3年或5年，或直到您将其删除（默认设置）；过期事件会自动删除，通常在一两天内完成。
• 一次 API 调用会删除某个 external ID 的所有存储数据，另一次调用会删除某个设备的所有数据，包括其与浏览器和 IP 的关联。
• 删除操作无法覆盖90天IP查询缓存、Webhook投递记录（保留30天）、失败任务和错误记录（保留至我们删除为止）或备份（35天）。

访问控制台

• 密码使用 scrypt 存储，对账户的每次更改都会结束其会话。
• 我们自身的登录也通过本服务自行校验：恶意机器人或来自其他浏览器的识别结果无法登录。
• 账户只能看到分配给它的项目。目前还没有角色：每位团队成员都可以创建密钥、更改设置、允许支持访问并删除项目。暂不提供双因素认证。

支持访问

• 我们的支持人员仅在项目允许时，才能读取项目的事件、用量和密钥，每次最长 12 小时。
• 团队成员可在项目设置中授权，或通过接受请求授权，可随时结束授权，并在支持人员查看时看到横幅提示。
• 支持人员打开的每个页面都会记录在组织的审计日志中。

合规