信任与安全
我们愿意写下来的东西。
我们自己的安全状况、访问与数据怎么处理、谁在处理什么，以及出事时我们怎么做。每一条都可以核对，也可以索取。
我们自己的状况
我们要求你做的控制，我们自己也在做。
这个站点是静态的，所以清单本来就短。短不等于已经验证过——在相信我们之前，请自己查一遍。
- 所有 HTTPS 响应都启用 TLS 1.3 与 HSTS
- 严格的安全响应头：CSP、HSTS、frame options、referrer policy 和 permissions policy
- 所有能改动本站或接触客户数据的账户都启用 MFA
- 每个账户都按最小权限授权，包括我们自己的
- 每周备份，并按同样的频率测试恢复
- 依赖按固定节奏更新，合并前先读 changelog
自己验证
在用本页任何内容之前，先用 Security Headers 和 SSL Labs 查我们。
两者都免费，且独立于我们。如果有哪项没通过，请告诉我们——我们宁愿自己修好，也不想它在你方的采购评审里被查出来。
检查与证据
- Security Headers — 主域名上的 CSP、HSTS、frame options 和 referrer policy
- SSL Labs — 协议版本、加密套件和证书链
- 每个项目一个专用保险库。凭据只放在一个库里，只共享给参与该项目的人，项目结束时移除。
- 强制 MFA。我们使用的每个账户都需要第二因素，包括客户自有的管理后台。方便不构成例外。
- 有期限，30 天内撤销。访问权限只在项目周期内授予，结束后 30 天内移除，需要时可提供书面确认。
- 凭据不走邮件。签合同前不走，交付中不走，之后也不走。我们用保险库，或者发定向邀请。
- 只有范围需要时才碰生产环境。默认用预发布环境、副本或只读权限；生产环境的管理权限需要书面理由。
数据处理
我们会留多久。
以下期限适用于本站和客户项目，除非签署的合同另有约定。每一次删除都会书面确认。
| 数据 | 存放位置 | 保留期限 | 删除 |
|---|---|---|---|
| 联系表单提交 | 表单数据库和共享收件箱 | 自最后一次回复起 24 个月 | 书面申请后删除；书面确认已删除 |
| 项目记录 | 私有项目工作区，仅项目团队可见 | 项目结束后 12 个月 | 结项时按申请销毁；书面确认 |
| 发现与报告 | 加密存储和你自己的副本 | 12 个月；你的副本由你保留 | 我们的副本按申请删除；书面确认 |
| 日志与原始扫描输出 | 托管、访问和扫描工作区日志 | 30 天，之后轮转或删除 | 随结项文件书面确认删除 |
删除申请请发至 xcsfx@icloud.com。我们会确认删除了什么、从哪里删、在哪一天删。
子处理者
谁会碰到这些数据，能看到什么。
五类。没有一类会拿到超出其职责范围的数据。
| 服务 | 用途 | 数据类别 |
|---|---|---|
| 边缘网络与 WAF | TLS 终止、缓存与请求过滤 | IP 地址、请求头和安全事件 |
| 静态托管 | 提供本站的页面、样式和脚本 | IP 地址与标准请求日志 |
| 邮件 | 接收表单提交并传递回复 | 姓名、邮箱地址和消息内容 |
| 支付 | 收取运维方案费用和项目发票 | 账单联系人及发票金额；卡信息留在支付处理方 |
| 可用性监控 | 检查站点及其端点是否响应 | 请求路径、状态码和响应时间 |
这张表是摘要。已签署项目的权威清单在 DPA 里，包括法律实体、处理条款和泄露通知。
事件响应
前五天，写下来。
以下时间以支持时段为准，即 GMT+8 周一至周五 09:00–18:00。这是我们能守住的承诺，不是愿景。
4 个工作小时内确认
由具名的人确认报告、受影响范围和下次更新时间。
每 24 小时更新一次
每天一份书面更新，直到事件关闭，即使没有新情况。
5 个工作日内给出根因
按顺序说明发生了什么，以及哪一项控制失效或缺失。
给客户的复盘报告
同样的根因，加上之后的改动，写法上保证你的团队能据此行动。
我们不是 7×24 的 SOC。没有夜班轮值，也没有凌晨三点的承诺。如果你的要求是全天候待命，那我们不合适——这句话我们会在第一次通话时说出来，而不是留到方案里。
认证
我们没有 ISO 27001，也没有 SOC 2。
我们没有的认证不会声称有，也不会拿没有资格展示的标识来借势。
我们给不了的东西
- ISO 27001 认证
- SOC 2 Type I 或 Type II 报告
- Cyber Essentials 认证
- PCI DSS 鉴证——卡数据留在支付处理方
如果你的采购要求其中任何一项，那这单我们不是合适的供应商。我们宁愿丢单，也不愿在文件上做不实陈述。
你可以读的证据
- 书面的安全政策，有版本记录，可索取
- 最小权限访问，每个账户都有具名负责人
- 客户数据进入之前先签 DPA
- 安全问卷用书面回答，不在销售电话里答
- 每个项目一份证据包：范围、发现、复测、结项
每次的答案都来自同一套政策，所以在不同的合作里保持一致。
安全港
- 在你自己的账户上做善意研究，或者在我们按你要求创建的测试租户上做，都欢迎。
- 不要访问、改动或外带他人的数据。停下并报告。
- 公开之前给我们修复的时间；如果你打算公开，也请提前说。
- 我们在 2 个工作日内确认，并告诉你我们能不能复现。
遵守这些规则的研究，我们不会追究法律责任。政策就这些，没有另外的表格。