安全政策

共同责任

Tungsto保护设施、网络基础设施和控制平面。客户保护其服务器上的操作系统、应用程序、凭据、加密密钥和备份。

账户控制

密码存储为慢速加盐验证器，会话使用哈希随机令牌。API 密钥只显示一次，存储为哈希，并且可以撤销。敏感的服务器操作需要当前身份验证并记录审计日志。

基础设施控制

管理访问按角色限制，管理网络与客户流量分离，硬件更改有跟踪。包含基线 DDoS 过滤，并提供高级配置文件。

数据处理

支付 webhook 已签名且幂等。账本条目仅追加。根据文档化的终止流程，服务器介质在退回库存前会被擦除。

报告漏洞

通过安全联系表单提交简明报告，包含复现步骤和影响。测试时请勿访问客户数据、在系统上持久化或中断服务。善意报告将得到确认和协调修复。

政策联系

问题可以通过 联系页面 提交；账户特定请求需要单独的所有权验证。本文档旨在提供操作清晰度，并不放弃依法不可放弃的权利。