01安全姿態
安全不是一個功能開關，而是貫穿設計、託管與營運的持續實踐。以下是我們目前在產品中落地的核心控制措施。
全程加密傳輸
所有客戶端與伺服器之間的流量均透過 TLS 1.3 加密，強制 HTTPS，並由現代密碼套件保護，杜絕明文傳輸。
資料最小化
我們只採集提供 eSIM 服務所必需的最少資料，不要求上傳護照或敏感身分證件，按需保留、定期清理。
基於角色的存取控制
後台採用 RBAC 權限模型，依最小權限原則分配職責，敏感操作受權限校驗與稽核紀錄約束。
Cloudflare 邊緣基礎設施
應用託管於 Cloudflare 全球邊緣網路，天然受益於 DDoS 緩解、WAF 與全球加速能力，縮小自建維運的攻擊面。
02資料與支付處理
對於支付，我們依託具備相應資質的第三方支付處理方完成扣款流程。CFJ-LINK 自身不儲存完整的持卡人資料（如完整卡號、CVV），從而從根本上降低支付資料外洩的影響面。
- 金鑰與憑證隔離：服務金鑰、API 憑證透過平台金鑰管理機制注入，不硬編碼於前端程式碼，不隨頁面下發。
- 不留持卡人資料：支付卡資訊由專業支付處理方處理，CFJ-LINK 不留存完整持卡人資料。
- 傳輸與靜態保護：敏感資料在傳輸層加密；儲存側按需最小化保留，結合存取控制限制讀取範圍。
誠實說明：我們持續推進安全工程實踐，但尚未取得任何第三方安全認證（如 SOC 2 / ISO 27001）。本頁不聲稱任何尚未完成的合規認證；進行中的事項見下文「合規進行中事項」。
03負責任揭露計畫
我們重視安全研究社群的工作。如果您發現了可能影響 CFJ-LINK 使用者或系統安全的漏洞，我們誠摯邀請您依本計畫負責任地向我們回報，在我們調查並修復期間給予合理的保密窗口。
我們目前以最大努力（best-effort）方式營運該計畫：暫未設立公開的金錢懸賞（bug bounty），也不承諾固定的賠付。我們會對有效、首次回報的真實漏洞表達感謝，並在徵得您同意的前提下進行致謝。
04範圍
範圍內
- 官網 cfj-global.com 及其子網域
- 客戶端應用 web-app.cfj-global.com
- 面向公眾的 API 端點與鑑權邏輯
- 認證、工作階段管理與越權存取問題
範圍外 / 不接受
- 對生產環境的拒絕服務（DoS / DDoS）測試
- 社交工程、釣魚或針對員工的實體攻擊
- 第三方服務（如支付處理方、Cloudflare）自身問題
- 無實際可利用影響的純理論或掃描器雜訊回報
05安全港原則（Safe Harbor）
只要您本著善意（good faith）遵循本揭露計畫進行安全研究，我們承諾：不會因您的研究行為而對您發起或支持針對您的法律追究，並將您的回報視為善意行為。為獲得這一保護，您的研究必須符合以下條件：
- 不破壞、不外洩資料：不得刪除、竄改、外傳或公開任何非您本人帳戶的使用者資料；一旦確認漏洞即應停止，避免擴大影響。
- 不損害可用性：不得執行可能導致服務中斷、資料遺失或降級的測試（如 DoS、大規模暴力破解）。
- 僅使用本人帳戶：僅針對您自己擁有的帳戶或獲得明確授權的測試帳戶進行驗證，尊重他人隱私。
- 給予合理修復窗口：在我們確認並合理修復之前，不公開揭露漏洞細節；與我們協調揭露時間表。
邊界提示：安全港不豁免對第三方的義務，也不適用於明顯惡意或以勒索為目的的行為。如對某項測試是否在範圍內存有疑問，請先透過 security@cfj-global.com 與我們確認。
06回報與回應流程
提交回報
將漏洞寄至 security@cfj-global.com。請包含重現步驟、受影響的 URL/端點、影響評估，以及任何概念驗證（PoC）。建議使用清晰、可重現的描述。
確認收悉
我們會以最大努力盡快確認收到您的回報。由於團隊規模有限，我們不承諾固定的回應小時數，但會真誠對待每一份有效回報。
調查與定級
我們將重現並評估其嚴重性與影響範圍，必要時與您溝通補充資訊。驗證期間請勿公開揭露細節。
修復與協調揭露
我們會依風險優先級推進修復，並在修復落地後與您協調揭露時間表。在您同意的前提下，我們樂於在致謝名單中署名感謝。
Security Contact: security@cfj-global.com
Preferred-Languages: en, zh
Disclosure-Policy: Coordinated, best-effort response
Preferred-Languages: en, zh
Disclosure-Policy: Coordinated, best-effort response
07合規進行中事項（誠實表述）
為避免誤導，以下區分了「現已在產品中落地」與「正在推進、尚未完成」的事項。我們不會聲稱任何尚未完成的認證或強制策略已經生效。
TLS 1.3 全程加密 / 強制 HTTPS客戶端與伺服器之間的傳輸加密
已上線
資料最小化與 RBAC 權限模型最小化採集 + 最小權限存取控制
已上線
Cloudflare 邊緣託管與基礎防護DDoS 緩解 / WAF / 全球加速
已上線
帳戶兩步驗證（2FA / MFA）作為可選增強項推進中，尚未強制啟用
進行中
第三方安全認證（SOC 2 / ISO 27001）尚未取得，未來視業務發展評估
進行中
本頁內容會隨產品演進更新。當某一進行中事項落地後，我們會將其狀態更新為「已上線」。
08聯絡安全團隊
發現了安全問題？
安全相關回報請優先寄至我們的專用安全信箱。一般產品問題請走客服支援管道。
