wmq
af49d22ca7
Add Telegram, WhatsApp and email account management, realtime messaging, contextual multilingual AI, customer intelligence, knowledge workflows, enterprise controls, a unified design system and complete repository documentation.
1.2 KiB
1.2 KiB
安全策略
私下报告
安全漏洞、凭据泄漏或租户越权问题不要提交公开 Issue。请通过公司内部安全联系人或仓库维护者私下报告，并附影响范围、复现条件和建议缓解方式。
敏感数据
以下内容不得进入 Git：
.env与任何真实 API Key、JWT、Webhook、SMTP、数据库密码。- SSH 私钥、证书私钥和个人访问令牌。
- Telegram TDLib、WhatsApp Baileys 登录态及关联设备凭据。
- PostgreSQL 导出、客户消息、联系人、媒体与生产日志。
若密钥曾出现在聊天、日志、压缩包或提交中，应立即轮换；仅从提交中删除并不能消除泄漏风险。
上线基线
- 所有公网入口启用 HTTPS、HSTS 和可信反向代理。
- 每个环境使用不同的强随机密钥；Webhook 密钥互不复用。
- PostgreSQL 与网关不直接暴露公网。
- 管理操作执行 RBAC、租户归属校验、审计和必要的二次确认。
- 定期验证备份可恢复，并为登录、Webhook、消息发送和 AI 请求设置限流与告警。
支持范围
安全修复优先发布到当前 main 和最新稳定版本。历史 snapshot-* 仅用于审计与回溯，不提供安全维护。