01安全姿态
安全不是一个功能开关，而是贯穿设计、托管与运营的持续实践。以下是我们当前在产品中落地的核心控制措施。
全程加密传输
所有客户端与服务端之间的流量均通过 TLS 1.3 加密，强制 HTTPS，并由现代密码套件保护，杜绝明文传输。
数据最小化
我们只采集提供 eSIM 服务所必需的最少数据，不要求上传护照或敏感身份证件，按需保留、定期清理。
基于角色的访问控制
后台采用 RBAC 权限模型，按最小权限原则分配职责，敏感操作受权限校验与审计记录约束。
Cloudflare 边缘基础设施
应用托管于 Cloudflare 全球边缘网络，天然受益于 DDoS 缓解、WAF 与全球加速能力，缩小自建运维的攻击面。
02数据与支付处理
对于支付，我们依托具备相应资质的第三方支付处理方完成扣款流程。CFJ-LINK 自身不存储完整的持卡人数据（如完整卡号、CVV），从而从根本上降低支付数据泄露的影响面。
- 密钥与凭据隔离：服务密钥、API 凭据通过平台密钥管理机制注入，不硬编码于前端代码，不随页面下发。
- 不留持卡人数据：支付卡信息由专业支付处理方处理，CFJ-LINK 不留存完整持卡人数据。
- 传输与静态保护：敏感数据在传输层加密；存储侧按需最小化保留，结合访问控制限制读取范围。
诚实说明：我们持续推进安全工程实践，但尚未取得任何第三方安全认证（如 SOC 2 / ISO 27001）。本页不声称任何尚未完成的合规认证；进行中的事项见下文「合规进行中事项」。
03负责任披露计划
我们重视安全研究社区的工作。如果您发现了可能影响 CFJ-LINK 用户或系统安全的漏洞，我们诚挚邀请您按照本计划负责任地向我们报告，在我们调查并修复期间给予合理的保密窗口。
我们目前以最大努力（best-effort）方式运营该计划：暂未设立公开的金钱悬赏（bug bounty），也不承诺固定的赔付。我们会对有效、首次报告的真实漏洞表达感谢，并在征得您同意的前提下进行致谢。
04范围
范围内
- 官网 cfj-global.com 及其子域
- 客户端应用 web-app.cfj-global.com
- 面向公众的 API 端点与鉴权逻辑
- 认证、会话管理与越权访问问题
范围外 / 不接受
- 对生产环境的拒绝服务（DoS / DDoS）测试
- 社会工程、钓鱼或针对员工的物理攻击
- 第三方服务（如支付处理方、Cloudflare）自身问题
- 无实际可利用影响的纯理论或扫描器噪声报告
05安全港原则（Safe Harbor）
只要您本着善意（good faith）遵循本披露计划进行安全研究，我们承诺：不会因您的研究行为而对您发起或支持针对您的法律追究，并将您的报告视为善意行为。为获得这一保护，您的研究必须满足以下条件：
- 不破坏、不外泄数据：不得删除、篡改、外传或公开任何非您本人账户的用户数据；一旦确认漏洞即应停止，避免扩大影响。
- 不损害可用性：不得执行可能导致服务中断、数据丢失或降级的测试（如 DoS、大规模暴力破解）。
- 仅使用本人账户：仅针对您自己拥有的账户或获得明确授权的测试账户进行验证，尊重他人隐私。
- 给予合理修复窗口：在我们确认并合理修复之前，不公开披露漏洞细节；与我们协调披露时间表。
边界提示：安全港不豁免对第三方的义务，也不适用于明显恶意或以勒索为目的的行为。如对某项测试是否在范围内存有疑问，请先通过 security@cfj-global.com 与我们确认。
06报告与响应流程
提交报告
将漏洞发送至 security@cfj-global.com。请包含复现步骤、受影响的 URL/端点、影响评估，以及任何概念验证（PoC）。建议使用清晰、可复现的描述。
确认收悉
我们会以最大努力尽快确认收到您的报告。由于团队规模有限，我们不承诺固定的响应小时数，但会真诚对待每一份有效报告。
调查与定级
我们将复现并评估其严重性与影响范围，必要时与您沟通补充信息。验证期间请勿公开披露细节。
修复与协调披露
我们会按风险优先级推进修复，并在修复落地后与您协调披露时间表。在您同意的前提下，我们乐于在致谢名单中署名感谢。
Security Contact: security@cfj-global.com
Preferred-Languages: en, zh
Disclosure-Policy: Coordinated, best-effort response
Preferred-Languages: en, zh
Disclosure-Policy: Coordinated, best-effort response
07合规进行中事项（诚实表述）
为避免误导，以下区分了「现已在产品中落地」与「正在推进、尚未完成」的事项。我们不会声称任何尚未完成的认证或强制策略已经生效。
TLS 1.3 全程加密 / 强制 HTTPS客户端与服务端之间的传输加密
已上线
数据最小化与 RBAC 权限模型最小化采集 + 最小权限访问控制
已上线
Cloudflare 边缘托管与基础防护DDoS 缓解 / WAF / 全球加速
已上线
账户两步验证（2FA / MFA）作为可选增强项推进中，尚未强制启用
进行中
第三方安全认证（SOC 2 / ISO 27001）尚未取得，未来视业务发展评估
进行中
本页内容会随产品演进更新。当某一进行中事项落地后，我们会将其状态更新为「已上线」。
08联系安全团队
发现了安全问题？
安全相关报告请优先发送至我们的专用安全邮箱。一般产品问题请走客服支持渠道。
