正在加载源钥…
下面这些数据，源钥在正常业务中永远不会接触。把它们列出来，比任何承诺都更有意义。
明文密码、保险库条目的解密内容
主密码（任何形式，包括加盐哈希）
你访问过的网站内容与浏览历史
用于广告画像的第三方标识符
通讯录、短信、剪贴板历史
唯一的例外是法律强制请求。即便如此，我们也会先通知你，并只提供请求范围内的加密数据。
诚实比好看更重要。跨设备同步、登录保护与安全告警都离不开它们。
| 数据 | 用途 | 保留期限 |
|---|---|---|
| 注册邮箱 | 账号识别与安全通知（泄露告警、异常登录提醒） | 账户存续期间 |
| 加密后的保险库条目 | 跨设备同步；服务端只能看到密文与元数据 | 账户存续期间 |
| 条目元数据 | 条目数量、更新时间、类型等统计字段，用于配额与健康报告 | 账户存续期间 |
| 登录与审计日志 | 识别异常登录、防止撞库 | 登录日志 90 天，审计日志 180 天 |
| IP 与 User-Agent | 限流、防滥用与安全告警 | 限流计数 1 小时 |
没有发生过重大安全事件，但小故障一直在发生。全部公开，包括那些不那么好看的部分。
部分用户无法收到验证邮件
一次灰度发布中邮件服务的队列配置被错误覆盖，导致约 3 分钟内验证邮件投递失败。保险库数据未受影响，服务端日志显示无任何异常访问。
帮助中心页面积累脚本加载延迟
帮助中心的第三方依赖在一次缓存失效后加载缓慢。我们移除了该依赖，所有统计改为第一方实现，不再向第三方发送页面访问数据。
攻击者可据此确认某邮箱是否注册
登录接口在返回错误信息时区分了「邮箱不存在」与「密码错误」。我们统一了响应文案与响应时间，并加入了恒定时间比较。
随时在设置中导出一份完整加密备份，删除账户后 30 天内彻底清除。
每 12 个月由第三方安全团队对客户端加密实现做审计，结论公开。
客户端与同步服务的关键部分开源，读者可以自行验证我们的说法。