我們自己的安全態勢

資料處理

我們讀取評估態勢和流量所需的最少中繼資料。當需要內容檢查時（流量 Guard），內容經過短暫處理以進行分類，並且不會在判決及其證據摘錄後保留。

發現、判決及其證據以加密方式儲存。您可以隨時匯出或刪除工作區資料——刪除是產品功能，不是支援工單。

僅限 OAuth 範圍

連接器使用 OAuth 或供應商 API 以支援您啟用的引擎的最窄範圍進行身份驗證。我們在文件中按連接器列出我們要求的每個範圍及原因。

無端點代理、無網路設備、無瀏覽器擴充功能。撤銷 OAuth 授權會立即切斷我們的存取——您的終止開關是您已控制的身分提供者。

平台安全

您可以使用電子郵件地址和密碼，或使用 Google 登入。密碼必須至少 12 個字元，且僅以加鹽 scrypt 雜湊形式儲存——絕不會以可讀形式儲存——登入嘗試會按 IP 位址進行速率限制。任何人都可以新增第二因素（TOTP 驗證器應用程式加上一次性備用代碼），組織可以要求每個成員都使用它。企業組織可以新增單一登入（SAML（即將推出）搭配 Okta、Azure AD、Google 或 OneLogin），將 SSO 設為唯一的登入方式（即將推出），以及限制存取受信任的 IP 範圍（IPv4 和 IPv6）。

每次登入都在 HttpOnly、Secure Cookie 中建立一個會話並由伺服器端記錄支援，該記錄在每個請求上進行檢查——所以您撤銷的會話，或破壞組織 IP 或會話策略的會話，立即結束。您可以檢查活躍會話並一次登出所有會話。在產品內，存取是最小特權：從細粒度自訂 RBAC 構建，由各功能權限原子構成、會話策略（最大持續時間、閒置超時和強制登出）以及按組織逐項增加審計日誌，您可以串流或匯出到您的 SIEM 作為 CSV、JSON 或 CEF。

每個發布都在 4000 多個自動化測試套件、13 種語言之間的翻譯平價閘門，以及生產構建閘門後發布——我們期望我們保護的系統具有相同的工程嚴謹度。

三個行動層級——只有一個進行寫入

每個組織都從偵測與警示開始：8200.dev 透過唯讀範圍進行讀取、發現風險權限、資料流和代理操作，並解釋每一個。建議與指引也是唯讀的——它新增精確的修復和分步說明供您方的人員套用。任何產品顯示在沒有寫入存取的情況下會被阻止的內容的地方，都標記為模擬；我們永遠不宣稱我們沒有的強制。

自動補救是唯一改變您來源中任何內容的層級，預設為關閉。它只在組織的所有者或管理員為組織啟用它、規則的策略已武裝，且您已單獨授予該連接器它需要的寫入範圍時才起作用——您可以隨時撤銷而不中斷監控的第二份同意。即使這樣，它也只撤銷或減少存取（例如，移除公開連結或外部共享）；它永遠不會刪除檔案或觸及其內容，每個操作都寫入審計日誌。自動補救尚不適用於 Google Workspace：它需要的寫入範圍尚未被 Google 驗證。

無攻擊能力

8200.dev 完全沒有任何利用、橫向移動或攻擊工具。平台透過您授權的供應商 API 觀察配置、評估資料流，並強制執行策略——沒有其他。

唯一不需要連接來源的分析是免費的 AI Exposure Check。它向您輸入的網域名稱查詢公開 DNS 解析器，僅返回分數、計數和狀態標誌。它不會連接到該網域的伺服器或網站本身（公開解析器可能會像正常 DNS 解析一樣查詢該網域的名稱伺服器），也不會掃描連接埠、嘗試登入或測試漏洞。它有速率限制，可接受的使用政策（第 3A 節）規定了其規則。

審計日誌

平台執行的每個操作——每次掃描、發現、阻止和配置變更——都寫入僅追加審計日誌。商業和企業層級可以匯出它。

我們對您工作區的所有管理員操作都記錄在同一軌跡中，對您可見。我們沒有進入您資料的無聲後門，我們確保您可以驗證這一點。

報告漏洞

發現什麼？寫信給 [email protected]。我們的目標是在 48 小時內確認報告，我們不會言論封禁善意的研究人員。

我們遵循協調披露，90 天的時間窗口：從您報告的時刻我們著手修復、讓您保持最新狀態，並要求您將公開披露推遲最長 90 天或直到修復發布，以先到期者為準。