🏠 家園
建立希望
讓每個家庭都有一個可以稱為家的地方 — 由我們的免稅非營利法人 OseloHelp.com 資助。
安全與你的資料
TimTim.Live 如何保護合作夥伴、買家和他們的資料。本頁寫的都是現在真實的做法。
金鑰和登入
- 秘密金鑰我們只顯示一次。我們只保存一份打亂後的副本（SHA-256 雜湊），所以連我們自己也讀不出來。
- 測試金鑰和正式金鑰是分開的。測試金鑰只能看到範例活動，絕不會碰到真錢。
- 網站金鑰只能在你為它列出的網站上使用。
- 你用寄到信箱的一次性連結登入。沒有可以被偷的合作夥伴密碼。
- 你團隊裡的每個人都有自己的登入，而且只有工作需要的權限。
給大型合作夥伴的額外鎖
- OAuth 2.0：用你的用戶端 ID 和用戶端密鑰換一個有效期一小時的權杖。
- 伺服器位址鎖：金鑰只能從你列出的伺服器上使用。
- 憑證鎖（mTLS），用於 api.timtim.live：金鑰只能配合你自己的 TLS 憑證使用。
傳輸中的資料
- TimTim.Live 的每個位址都使用 HTTPS。瀏覽器會被告知：連到我們時絕不使用一般的 HTTP。
我們發給你的訊息
- 每個 Webhook 都用 HMAC-SHA256 和發送時間簽章。超過五分鐘的訊息一律拒收。
- 你的 Webhook 密鑰加密保存（AES-256-GCM）。
- 我們絕不向私有或內部網路位址發送訊息，也絕不跟隨重新導向。
買家和付款
- 我們絕不把買家的姓名、電子郵件、地址、電話號碼或信用卡資料給合作夥伴。
- 刷卡付款在 Stripe 自己的安全結帳頁面上完成。卡號絕不會到達 TimTim.Live 的伺服器。
- 購買連結帶有簽章，所以沒人能偽造連結來搶走你的功勞。
資料存放在哪裡
- 我們的伺服器在美國維吉尼亞州 Ashburn（Oracle Cloud）。
- 這些服務替我們處理資料：Stripe（付款）、Cloudflare（網路保護）、Oracle Cloud（伺服器）和 Resend（電子郵件）。
我們保存多久
- Webhook 發送紀錄：30 天。
- 已結束的 OAuth 權杖：一天，然後刪除。
- 狀態檢查：90 天。
- API 使用量按天統計。這些統計裡我們絕不保存你的金鑰或你傳送的內容。
留意問題
- 我們每分鐘從網際網路檢查每個公開部分。你可以在我們的狀態頁看到結果。
- 如果網站不再回應，我們的團隊會收到提醒。
- 核准合作夥伴和付錢都必須由一位有這項權限、有名有姓的員工來做。這些操作沒有共用密碼。
我們還沒有的東西
- 我們還沒有 SOC 2 報告，也沒有 ISO 27001 證書。
- 還沒有外部公司測試過我們的安全（滲透測試）。
- 我們沒有付費的漏洞賞金計畫。
- 只要其中任何一項有變化，我們就會更新本頁。
如果出了問題
- 如果金鑰可能已經外洩，請在你的控制台把它關掉。它會立刻失效。然後再新建一個。
- 發現安全問題？請寄信到 [email protected]。每份報告都有真人閱讀。
- 請不要用別人的資料做測試，並在告訴別人之前給我們時間修復問題。
