安全与负责任的漏洞披露

最后更新：2026年5月9日

我们的安全承诺

Keigo 处理的用户数据包括邮箱、支付信息（通过 Stripe）、上传的文件（签证、税务、身份证明）以及 AI 对话记录。我们高度重视安全，欢迎研究人员提交报告以帮助我们保护用户。

如何报告安全漏洞

如果您认为发现了安全问题，请通过邮件私下告知我们，不要公开披露。我们承诺在48小时内响应，5个工作日内完成分级处理，并根据严重程度进行修复。

如需 GPG 密钥可申请获取。请附上复现步骤、受影响的网址；如果您希望获得署名，也请附上您的用户名。

范围内（欢迎测试）

身份验证流程、会话管理、账户锁定、密码重置

Stripe 结账与 webhook、订阅状态、套餐权限控制

S3 文档上传/下载、预签名 URL 处理、ZIP 导出

范围外（请勿测试）

DoS / DDoS / 流量型攻击（我们已启用速率限制，这在预期之内；但故意造成过载是被禁止的）

针对员工、承包商或最终用户的社会工程攻击

针对基础设施或办公场所的物理攻击

读取其他用户账户的数据（请使用您自己的测试账户；如果您不小心访问了他人的数据，请立即报告并删除）

我们对您的承诺

对于善意遵守本政策、未访问超出证明问题所需范围的数据、在公开披露前给予我们合理时间修复（标准为90天），且不利用该问题损害Keigo或其用户的研究人员，我们不会采取法律行动。

致谢与奖励

我们是一个小团队，目前还没有预算设立正式的漏洞赏金计划。不过我们会提供：

— 对已确认的独特漏洞，在本页面公开致谢（需征得您同意）

— 您的 Keigo 账户可终身免费使用 The Vault

— 真诚的感谢——您的努力直接帮助在日外国人社区更加安全。

您的文件如何受到保护

在东京服务器上静态加密 (AES-256)

通过 HTTPS/TLS 传输加密

通过私有、有时限的链接打开 — 绝不公开

每个账户的文件都与其他账户的文件隔离

您使用 Snap & Sort 分析的照片在分析后不会保留