安全與資料

安全不是一句“放心”，而是清楚的邊界

下面說明哪些資料由你維護、哪些憑證會被保護、外部請求如何受限，以及發生異常時系統和使用者分別需要做什麼。

記錄由你確認

Subscriptions, amounts, currencies, and dates come from your input. TutuSub does not read bank transactions or present planning summaries as final invoices.

上游認證單獨保護

HTTP Pull 等上游認證配置在服務端使用 AES-256-GCM 加密；部署缺少有效主金鑰時，新的敏感憑證寫入會被明確拒絕，而不是靜默明文儲存。

Webhook 需要按憑證對待

通用 Webhook 支援簽名與時間戳校驗，並對重放做去重。URL、token 和金鑰都不應出現在公開前端程式碼或聊天記錄中；洩露後應立即輪換。

出站請求有網路邊界

HTTP Pull 預設攔截私有、環回、鏈路本地等目標，禁止 URL 內嵌賬號密碼，並且不跟隨重定向，降低 SSRF 與跳轉繞過風險。

資源不是無限的

拉取請求有超時和 1MB 響應限制；Webhook 有 256KB 請求體限制與速率限制。超限請求失敗，不應持續佔用記憶體或工作執行緒。

失敗可以被看見並恢復

連線失敗會留下錯誤狀態，後續成功檢查可恢復。入站事件有回執去重，通知傳送中的中斷任務也有後臺恢復路徑；使用者仍應保留原平臺作為最終事實來源。

發現異常時怎麼做

  1. 1先停用或輪換受影響連線，阻斷舊憑證繼續使用。
  2. 2在傳送端更新配置，分別測試正常請求、錯誤簽名、超限和重試。
  3. 3核對原平臺賬單與日期，確認本應用記錄沒有因為中斷而過期。
  4. 4仍有問題時帶上時間、連線型別和可公開的錯誤資訊聯絡支援；不要傳送完整金鑰。

你仍然掌握最後一步

Disabling or deleting a record in TutuSub does not cancel it at a registrar, SaaS vendor, cloud provider, or payment institution. Confirm every payment, refund, contract, and auto-renew change at the original service.