SevenStars 安全说明

SevenStars 提供公开网站、桌面客户端下载安装、账户访问、字符容量工作流以及项目报价表单。网站、桌面产品、外部账户服务、客服、邮件和支付边界采用的安全控制并不完全相同。

本页仅说明当前已核验信息所支持的控制。SevenStars 不因发布本页而声称已取得安全认证或具备普遍适用的合规状态。

正式网站通过 HTTPS 提供服务，用于保护兼容浏览器与网站端点之间传输的网络流量。

外部账户、客服、邮件、CDN、字体和支付服务具有各自独立的技术与合同边界。使用 HTTPS 并不等同于声称所有服务链路均采用端到端加密。

登录使用现有外部认证 API。登录响应通过校验后，网站会在 localStorage 中保存认证 Token 和缓存用户资料，以支持已登录页面运行；网站客户端不会持久化用户提交的密码。

同源脚本可以读取 localStorage，因此脚本注入漏洞可能导致会话数据暴露。当前网站没有证据支持 MFA、SSO、SAML、SCIM、基于角色的访问控制、自助密码找回、邮箱验证或面向用户的会话撤销功能。

报价接口实施请求体和字段长度限制、服务端校验、蜜罐、浏览器发送 Origin 时的同源检查、限流，以及对受支持请求的服务端幂等处理。

系统可以向用户返回请求参考编号。受保护的幂等状态保存由规范化提交内容生成的摘要及投递状态，而不保存可读的联系人资料或项目正文；但为了处理请求，报价内容仍会发送至已配置的客服和邮件投递服务。

网站加载 Google Fonts 和嵌入式客服组件，生产交付链路使用 Cloudflare，并与外部账户服务通信。报价通过客服和邮件通道投递；已登录账户中的支付记录由账户服务边界处理。

各外部服务分别适用其自身的安全、保留、可用性与隐私控制。目前尚未独立确认其针对本服务的合同或认证状态。

旧版浏览器兼容协议仍依赖向兼容构建提供私钥材料。提供给浏览器构建的值可以从构建产物中恢复，因此不能被视为秘密。仍需前后端联合迁移协议，随后轮换已暴露密钥并清理旧构建产物。

会话 Token 当前仍保存在 localStorage。更安全的会话设计需要完整威胁建模及兼容后端的联合迁移，不能表述为当前已具备的能力。

目前没有经核验的专用安全邮箱或公开漏洞奖励计划。如需报告潜在安全问题，请使用已核验的客服邮箱，并在主题中注明“Security report”。首次邮件请勿包含密码、私钥、支付凭据或非必要个人信息。

请将请求发送至 support@sevenstarsai.com.