安全与合规

身份验证

• 访问令牌是短期 JWT（15 分钟），在 API 网关验证；刷新令牌的空闲有效期为 30 天、最长 90 天，每次使用时轮换，并存储在 HttpOnly、Secure、SameSite Cookie 中。重复使用已轮换的刷新令牌会撤销整个令牌链。
• 签名密钥每 90 天轮换一次，并保留重叠期；公钥发布在 /.well-known/jwks.json。
• 权限不嵌入令牌中：每次请求时读取，因此角色变更会立即生效，任何会话都可以集中撤销。
• 双重身份验证（TOTP）可以设为可选、对所有者和管理员强制或对所有人强制。所有套餐均支持通过 Google Workspace 和 Apple 进行单点登录。SAML 2.0、通行密钥和 SCIM 预配已列入计划，目前尚不可用。
• API 密钥只显示一次，以 SHA-256 哈希存储，作用域从封闭目录中选择，受其所有者权限的约束，并可立即撤销。请参阅身份验证。
• 登录按 IP 和电子邮件进行速率限制；失败十次会将该账户锁定 30 分钟；来自同一 IP 地址的失败尝试会被计数并记录，但默认不会封锁该地址。每次登录、失败、刷新、权限变更和管理操作都会写入审计日志。

租户隔离

每个服务中的每一行都带有其所属账户，每个查询都会自动按账户筛选；关闭筛选需要一个显式的、在允许列表中的调用，该调用仅用于跨租户的员工操作，并有测试覆盖。站点级角色会在此基础上再增加站点筛选。请求其他账户的资源会返回 404，绝不返回 403，因此无法枚举 ID。每个写入端点都使用严格的字段允许列表。每个新端点都必须进行跨账户访问测试。

每个请求的 X-Account-Id 标头都会与令牌核对，因此客户端缺陷或被重放的令牌永远无法悄悄读取其他租户的数据。

加密

所有公开端点使用 TLS 1.2 或更高版本，服务之间使用双向 TLS，连接所有数据存储均使用 TLS，静态数据存储在加密卷上，敏感字段采用按账户的信封加密。公开证书自动签发和续期；内部证书有效期很短。

密钥管理

所有机密，包括您自带的（BYOK）提供商密钥和 Webhook 密钥，都存放在专用的密钥管理器中，经过加密、按服务限定范围并接受审计。源代码管理中没有任何机密（每次提交前都会扫描强制执行），容器镜像中也没有（在 CI 中检查）。开发人员默认无法访问生产环境机密；紧急访问需要两人批准，有效期很短，并会记录到一个无法静音的频道。

Webhook

出站投递使用基于时间戳和原始正文的 HMAC-SHA256 签名，带有 nonce 和事件 ID，超出五分钟窗口即被拒绝，并以退避方式重试，最终进入死信队列。密钥轮换时有重叠窗口，并可立即撤销。来自提供商的入站 Webhook 在处理任何内容之前都会按各提供商的方案进行验证。详情：Webhook。

速率限制

四个层级：边缘网络上的 DDoS 和机器人防护、反向代理上的按 IP 限制、API 网关上的按账户和按身份令牌桶，以及服务内部的领域限制。具体限制见 API 概览。

审计

每次变更都会写入一个仅追加、哈希链接的审计日志，有两个保留类别：一般事件和合规事件（数据主体请求、数据泄露、子处理方和 KYC 记录）。类别在写入条目时确定；任何人都无法编辑或删除该日志，按类别的自动清理目前尚未运行。所有者和管理员可以筛选和导出该日志。密码、令牌和密钥绝不会被记录；日志层会屏蔽已知的敏感键。

数据保护

• GDPR、英国 GDPR、CCPA 和 LGPD 的数据主体请求（访问、导出、删除）在合规控制台中接收并跟踪，并带有截止日期。删除由 RolChat 员工执行，只有他们确认后请求才会关闭；覆盖所有模块的自动删除目前尚不可用。
• 数据驻留：数据存储在欧盟。区域不会在注册时按国家选择；账户设置中的区域设置目前仅作记录，尚不会迁移数据。
• 按套餐保留：1 年、2 年或 3 年。删除对话或联系人只会将其隐藏，直至该期限结束；删除账户是一项有 30 天可撤销期的请求，之后由员工清除数据；未付款的账户保留 90 天后清除。执行这些期限的自动清理正在逐步上线。
• 数据处理协议、子处理方列表、隐私政策和 Cookie 政策发布在 rolchat.com 上；注册时需接受数据处理协议。
• 按照 GDPR 第 33 条的要求，在 72 小时内通知数据泄露。

漏洞管理

持续监控依赖项；锁文件已提交；基础镜像按摘要固定；CI 操作按提交固定。从测试版开始，每年安排一次第三方渗透测试，覆盖 API、小组件和公开页面，以及一个假定已遭入侵的内部场景。正式发布时将推出私有漏洞赏金计划。请将安全问题报告至 security@rolchat.com。

可用性

平台运行在多个节点上，无状态服务具备自动故障转移，数据库采用托管复制。各套餐的可用性目标见您的协议。

事件响应

每个服务都有运行手册，有值班轮换，有在我们自身基础设施失效时仍能工作的外部呼叫系统，并且流程中内置了通知客户的义务。