ContentVelo 的安全措施

与我们服务器的连接

对 ContentVelo 各应用的所有请求都通过 HTTPS 提供。以普通 HTTP 到达的请求会被重定向，生产环境中我们的服务器会发送 HTTP 严格传输安全（HSTS）标头，使您的浏览器此后不再退回普通 HTTP。实际提供的 TLS 版本与加密套件取决于我们的主机服务而非应用本身，因此我们不会在此写出无法保证的版本号。

凡是会改动您账户内容的请求都带有防伪造令牌，其他网站因此无法在您不知情的情况下借您的浏览器操作您的账户。

账户与登录

您可以使用电子邮箱和密码登录，也可以使用已绑定的社交账号登录。登录成功后会签发一个会话 Cookie，浏览器不会把它暴露给脚本，也不会发送给其他网站。

• 客户端的会话有效期为七天，每次使用都会顺延。
• 后台管理会话有效期为八小时，由拥有独立登录入口的另一套应用签发。
• 新的邮箱地址需通过发送到该地址的链接确认。重设密码使用一次性且会过期的令牌。
• ContentVelo 目前不提供双重验证。您的密码，或您用来登录的社交账号，是保护账户的唯一屏障。

您的密码如何存储

我们不保存您的密码，只保存它的 SHA-256 哈希值。ContentVelo 的任何人都无法从该哈希值还原出密码，我们也绝不会向您索要密码。

我们明确说明这个哈希是如何计算的，因为这种做法低于当前的通行标准，而您有权在设定密码之前知道。系统对每个密码附加的是同一个固定值，而不是为每个账户使用不同的随机值；哈希只计算一次，也没有刻意放慢速度。bcrypt、scrypt、Argon2 等现代密码哈希函数两者都不会这么做，改用其中之一已列入我们的工作计划。

这在实务上意味着：万一我们的密码表外泄，常见密码和在别处重复使用的密码会被很快还原。请使用一个您在其他地方没有用过的密码，并尽量设得长一些。

Facebook 主页与访问令牌

连接 Facebook 主页后，Meta 会签发一个访问令牌给 ContentVelo。为了在您离线时仍能发布定时贴文，我们将该令牌保存在数据库中。令牌以可读形式保存，应用本身不对其加密，因此它的保护程度等同于数据库及其所在服务器的保护程度。

该令牌让我们能够读取该主页自身的贴文及其互动数据，并向该主页发布内容。它不会让我们访问您的个人 Facebook 个人档案、好友，或任何您未连接的主页。

在 ContentVelo 内断开主页连接会删除我们保存的令牌副本，但不会收回您在 Meta 授予的权限；那需要在 Facebook 设置的「商务整合」中操作。数据删除页面说明了这两个步骤。 删除您的数据

支付

银行卡资料从不会到达 ContentVelo。付款在支付服务商托管的页面上完成，我们只收到结果：金额、币种、状态、支付方式名称和服务商的参考编号，这些会被保存以便向您展示账单记录。为了发起扣款，我们会把您的电子邮箱、应付金额、订单参考编号和所购套餐的简短说明发送给服务商。我们不会发送您的姓名——产品提交的表单里根本没有姓名这一项。

还有谁会处理您的数据

提供 ContentVelo 服务需要把您的部分数据发送给其他公司。以下是产品实际调用的对象：

• OpenAI 会收到用于撰写贴文的指令。该指令包含您的业务描述、语气与关键词设定，以及（若您填写过）希望出现在贴文中的电话号码、电子邮箱、LINE ID、网站和商店链接。当您要求我们学习某个主页的风格时，还会一并发送该主页最多二十条既有贴文。
• Google 通过 Gemini API 接收用于生成图片的指令。
• 支付服务商会收到您的电子邮箱、金额和订单参考编号，并完成收款，但不会收到您的姓名。
• 我们的图片存储服务商接收并托管为您生成的图片和您上传的图片。这些文件通过一个不易猜到、但也没有访问控制的公开网址提供。
• 每当我们向您发送验证链接、密码重设或通知时，我们的外发邮件服务商都会收到您的电子邮箱地址和邮件内容。

Cookie 政策

我们会记录您的哪些使用情况

您在账户中的操作会写入审计日志，包含时间、操作、您的用户与工作区、IP 地址以及浏览器的 user-agent 字符串。每一次生成请求会写入用量日志，包含发送的指令、产生的文字与图片、使用的模型、成本、是否成功，以及请求来源 IP 地址。这些记录用于解释账单和调查滥用。它们会在账户存在期间一直保留：ContentVelo 目前没有清除旧日志的定时任务。

我们不作出的声称

一个安全页面只有把缺少的东西写得和具备的东西一样清楚，才有意义。截至上述日期，ContentVelo 尚不具备：

• 任何形式的独立安全认证或审计；
• 应用层的静态数据加密——现有的保护来自我们的数据库服务器和主机服务，而非 ContentVelo 自身的程序代码；
• 面向客户或管理员账户的双重验证；
• 由第三方执行的渗透测试，或公开的漏洞悬赏计划。

若本站其他地方对我们安全状况的描述比本页更强，请以本页为最新且准确的说明。

报告安全问题

若您认为发现了 ContentVelo 的漏洞，请写信告知我们，并提供足以复现的细节。我们会回复确认收到。我们不提供奖金，并请您在公开描述之前，给我们合理的修复时间。