安全政策

1. 方法

VERA 可以代表您发帖、发送消息和支出款项，因此最重要的安全属性并非加密技术，而是：没有您的参与，VERA 不会采取行动。对外操作会被记录为提议，只有在您审批后，或依据您自己配置的自动化规则，才会执行。审批关卡在执行操作的代码路径中强制实施，而不仅仅是写在政策里。

第二条原则是：凭据是最核心的资产。VERA 所持有的令牌对应的平台可以转移资金、向受众发布内容，并读取企业的账户。这些令牌使用一把与其他一切相互独立的密钥加密，绝不会回显到界面，也绝不会写入日志。

2. 已落实的措施

以下各项均已在产品中实现。

• 传输加密。 所有流量均通过 HTTPS 提供。在生产环境中，普通 HTTP 请求会在边缘被永久重定向至 HTTPS，并启用 HTTP 严格传输安全，max-age 为两年，同时设置 includeSubDomains 和 preload。
• 静态机密信息加密。 连接器凭据和 API 密钥使用 AES-256-GCM（一种认证加密算法）加密，因此被篡改的密文会解密失败，而不会产生被更改的数据。密钥是一个专用值，生产环境启动校验要求其必须存在、独立且长度足够。
• 密码安全。 密码使用 bcrypt 以 12 的工作因子进行哈希处理，绝不会以可读形式存储或记录。系统强制要求最低密码长度。使用密码登录的账户必须先完成电子邮件验证。
• 会话管理。 会话采用签名的 JSON Web Token，其中携带一个撤销计数器，每次经身份验证的请求都会将其与数据库进行核对。递增该计数器会使所有已签发的会话立即失效，正因如此，密码重置、“退出所有设备”和账户停用才能真正清除正在使用的会话，而不仅仅是阻止新会话。
• 密码重置与验证。 重置链接仅可使用一次，1 小时后失效，发送设有冷却时间以限制频率，使用后将注销所有会话。验证链接 24 小时后失效。重置请求绝不会透露账户是否存在。
• 速率限制。 登录、注册、密码重置和 AI 操作均受速率限制，采用存储在数据库中的持久化固定窗口计数器，因此限制在进程重启后依然有效，并跨所有实例生效，而不仅限于单个实例。
• 租户隔离。 每次查询都限定在已通过身份验证的账户范围内。所有权校验失败本身也会作为安全事件被记录。
• 团队角色和席位。 企业账户可以包含多名成员。每位成员由账户持有人邀请，使用自己的凭据（而非共享登录）接受邀请，并被分配一个角色，其权限在服务器端进行校验，而不仅仅体现在界面上。成员可被停用，停用后其访问权限将被关闭，但其姓名仍会保留在其提交的记录上。员工提交的支出、里程等内容将归属于提交该内容的账户。
• 管理访问控制。 内部运营控制台仅限环境中配置的明确操作员白名单访问。每项操作员操作都会写入仅追加的管理审计日志，记录谁对哪个账户做了什么。
• 审计记录。 每一次提议、审批、编辑、拒绝、执行和失败，都会记录在每个账户独立的仅可追加审计日志中，同时记录密码更改、会话撤销、账户停用和报价链接轮换等安全事件。密钥、令牌和密码哈希在设计上即被排除在外。
• HTTP 安全标头。 内容安全策略（Content Security Policy），限制脚本、样式、框架和表单提交目标；通过 X-Frame-Options DENY 和 frame-ancestors none 防范点击劫持；X-Content-Type-Options nosniff；strict-origin-when-cross-origin 引用来源策略；以及设置为 camera=(), microphone=(self), geolocation=(self) 的 Permissions-Policy。麦克风和位置权限仅对 VERA 自身页面开放，绝不开放给嵌入的第三方，并且只有在您为请求该权限的功能授予浏览器权限后才会生效。
• Webhook 完整性。 入站 Webhook 在处理前会依据各服务商的签名机制进行验证，包括 Stripe 签名、Meta 的 HMAC 请求头、Jobber 的 HMAC、Square 的签名密钥，以及 QuickBooks 的专用验证令牌。推送按事件 ID 去重，因此重放无法使同一操作生效两次。
• 服务器端请求伪造防护。 当产品获取您提供的 URL（例如商店域名或需分析的网站）时，会校验该地址的协议和端口，并解析其指向的每一个 IP，拒绝回环地址、私有地址、链路本地地址、运营商级 NAT 地址以及云元数据地址段。重定向同样经过处理，因此公共主机无法将请求跳转到内部主机。
• 公开链接安全。 面向客户的报价链接采用 256 位密码学安全随机数。所有者可以重新生成链接，旧链接会立即失效，系统会记录其不可逆的指纹以供审计。令牌查询失败会被限流，防止对该端点进行暴力穷举；令牌在日志或管理视图中原本会显示的位置均做掩码处理。
• 最小权限的集成授权范围。 集成仅申请其功能所需的权限范围，其中多个集成在设计上就是只读的，包括 QuickBooks Online 和 Jobber。账单分析使用单独的受限只读支付服务商密钥，因此分析视图永远无法更改账单状态。
• 支付数据隔离。 卡号绝不会到达 VERA。付款通过 Stripe 托管的结账页面收取，并通过 Stripe 的账单门户进行管理，因此 VERA 的系统不在持卡人数据传输路径中。
• 默认安全配置。 启动校验会在以下情况下拒绝在生产环境中运行：使用开发环境的会话密钥、未设置会话密钥，或缺少专用的密钥加密密钥；对于配置不完整、可能悄然失效的集成，也会发出警告。
• 每日加密备份。 生产数据库每天导出一次，在离开生成它的机器之前使用 AES256 加密，并与数据库服务商分开存储。每次运行都会将刚生成的加密副本恢复到一个临时数据库中，如果恢复失败或恢复结果为空，该次运行即判定失败，因此备份只有在成功恢复后才算数。备份保留 30 天，两次备份之间的时段由数据库服务商自身的时间点恢复功能覆盖。
• 账户暂停。 遭入侵或被滥用的账户可被暂停：暂停后，所有需要身份验证的入口都会拒绝访问，现有会话也会被撤销，但不会删除数据，且暂停可以解除。

3. 尚未落实的措施

这些是安全审查人员理应会询问的控制措施。VERA 目前尚不具备。我们将其列出，而不是让读者根据上一节推断它们存在。

• 无认证。 VERA 尚未完成 SOC 2 Type I 或 Type II 审计，未获得 ISO 27001 认证，没有 HIPAA 业务伙伴计划，自身也未接受 PCI DSS 评估。支付卡处理完全委托给 Stripe。
• 无多重身份验证。 VERA 目前不提供双重身份验证、身份验证器应用、硬件密钥或通行密钥。使用 Google 登录时，将沿用您 Google 账户已设置的多重身份验证保护，这是目前可用的最强选项。
• 不支持单点登录。 不支持 SAML 或 OIDC 企业单点登录，也不支持 SCIM 用户预配。
• 不支持基于目录的用户管理。 团队成员在 VERA 内部邀请和管理。系统不支持通过身份提供商自动开通或撤销账户，因此将某人从您自己的目录中移除并不会取消其 VERA 访问权限，您还必须在 VERA 中将其停用。
• 无独立渗透测试或漏洞赏金计划。 VERA 尚未委托第三方进行渗透测试，也未运营付费漏洞赏金计划。
• 不支持客户自管加密密钥。 加密密钥由 VERA 管理。不支持自带密钥。
• 不可选择数据驻留地。 数据在美国处理。不提供欧盟或其他地区的托管选项。
• 无长期备份存档。 每日备份保留 30 天。没有月度或年度归档，没有异地第三份副本，也无法从备份中恢复单个账户：恢复操作会还原整个数据库，因此它属于事件响应手段，而非面向客户的数据恢复服务。
• 无 24/7 安全运营。 我们没有全天候配备人员的安全运营中心，没有向客户公布的正式值班轮换机制，除上述应用层控制措施外也没有入侵检测产品。
• 无正常运行时间承诺。 VERA 不提供服务等级协议。请参阅《服务条款》。

4. 基础设施

VERA 以容器化 Next.js 应用的形式运行在 Node.js 上，通过多阶段构建生成自包含的运行时镜像进行部署，后端为托管 PostgreSQL 数据库。系统提供健康检查端点，供平台监控使用。

上传的照片、生成的图片和导入的文档以编码数据形式存储在应用数据库中，而非存储在单独的对象存储服务中。这意味着不存在可能被误设为公开可读的单独配置的存储桶，同时也意味着文件存储沿用数据库提供商所采用的静态加密措施。

托管、网络层防护和物理安全由子处理方清单中列出的平台提供商依据其各自的安全计划提供。VERA 不运营自有数据中心。

5. 监控与事件响应

生产环境中运行应用程序和错误日志记录。内部运维控制台会显示系统健康状况、后台任务状态、集成故障，以及一个安全面板，用于报告诸如仍在使用旧版令牌格式的报价链接积压情况等事项。

如我们发现影响客户数据的安全事件，我们会进行调查、加以控制，并评估所涉及的数据。对于代表企业客户处理的个人数据，VERA 将按照《数据处理附录》的要求，在知悉后无不当延迟地、且在 72 小时内通知受影响的客户。向监管机构和个人发出通知是控制者的责任，我们将予以协助。

VERA 目前未发布状态页面或公开的事件历史记录。

6. 报告漏洞

请将安全问题发送至 support@meetmyvera.com，主题注明“Security report”。请提供足以复现问题的细节：受影响的 URL 或功能、操作步骤，以及您认为造成的影响。欢迎使用加密通信，如有需要请告知，我们会安排。

我们力争在 3 个工作日内确认收到报告，并在 10 个工作日内给出评估结果。在修复期间，我们会持续向您通报进展，并在修复发布时告知您。如果您愿意，我们很乐意公开致谢。

7. 负责任的披露与安全港

如果您本着善意并在以下范围内研究 VERA 的安全性，我们不会对您采取法律行动，并将依据适用的计算机滥用相关法律，视您的研究为已获授权。我们要求您：

• 仅测试您自己的账户。 请使用您自己创建的账户。不得访问、修改或保留其他客户的数据。如果您无意中接触到他人的数据，请立即停止，不要保存，并告知我们发生了什么。
• 避免伤害。 禁止拒绝服务攻击，禁止负载或压力测试，禁止发送垃圾信息，禁止对我们的员工或客户进行社会工程攻击，禁止物理攻击。
• 请勿大规模使用自动扫描工具。 激进的自动化扫描与攻击无从区分，会导致您被限速或封禁。
• 给我们一点时间。 请以非公开方式报告，并在公开披露前给我们留出合理的修复时间。我们默认期望为 90 天；通常我们会快得多，如需更长时间也会告知您。
• 禁止勒索。 以付款为条件扣留细节的行为不属于安全报告。VERA 不运营付费漏洞赏金计划，也无法提供奖励。

8. 您的职责

请使用高强度且唯一的密码。如果您的 Google 账户已启用多重身份验证，建议优先使用 Google 登录，因为 VERA 目前尚未提供自己的多重身份验证。

请勿共享您的登录凭据。对于每位需要使用 VERA 的人员，请通过邀请并分配角色的方式为其开设单独的授权账户，而不是把登录信息交给他们：共享的账户持有人登录拥有完全访问权限，包括账单和所有已连接的平台，而且会导致活动记录无法显示究竟是谁执行了某项操作。成员一旦不再需要访问权限，请立即将其停用。

仅在需要相应功能时授权集成，并断开不再使用的集成。如果报价链接被转发到了您不希望的地方，请重新生成该链接。如发现异常，请查看您的审计记录；如怀疑存在未经授权的访问，请发送邮件至 support@meetmyvera.com 告知我们。