信任中心
关于平台如何受到保护、您的数据存放在哪里、我们持有哪些认证——包括我们尚未持有的认证——我们能告诉您的一切。
我们对齐或正在积极申请的框架，当前认证状态见下表。
数据驻留与隐私
存储在加拿大，由我们自己运营的服务器上。主要数据存储地
加拿大 🇨🇦
账户数据、扫描结果和日志存储在加拿大多伦多、由我们自有并运营的服务器上。经过加密的每晚备份还会复制到 Cloudflare R2，其存储位置不固定；密钥仅由我们持有。下列每个子处理方只会收到其服务所需的数据。
静态加密
AES-256-GCM
机密信息与保存的凭据均使用 AES-256-GCM 加密。加密密钥与令牌签名密钥相互独立，仅存在于服务器环境中，绝不会写入数据库、备份或代码仓库。
传输加密
TLS 1.3
所有 API 与网页流量均使用具备前向保密性的 TLS 1.3，加密套件仅限于当前可用的最强配置。
不捕获流量
从不
我们从不捕获或存储网络流量。扫描产生的内容——工具的输出以及从中解析出的发现——会被保存，便于您查看和生成报告，并在 90 天后删除。
我们保留哪些数据
数据处理原则
传输与存储加密
每一条连接都使用具备前向保密性的 TLS 1.3。机密信息与保存的凭据使用 AES-256-GCM 加密，其密钥与令牌签名密钥分开保管。
隔离执行
扫描在服务器端的专用扫描容器中运行，每个任务一个进程。命令在填入您的参数之前就已拆分为词元，因此不会经过 shell；每一次查询都限定在您的组织范围内。
对齐 SOC 2 的控制措施
基础设施按照 SOC 2 信任服务标准（安全性、可用性、保密性、隐私）设计。Type II 审计尚未完成——下方的框架表逐项说明了各自的状态。
仅追加的审计日志
特权操作会写入仅追加的审计日志，限定在您的组织范围内，并可从控制台查询。日志保留一年。
多因素认证、单点登录与角色
基于 TOTP 的多因素认证，并提供一次性备用码。企业版支持 SAML 2.0、OIDC 以及 LDAP／Active Directory 单点登录。基于角色的访问控制在服务器端强制执行，而不是在界面上。
由我们维护的工具链
扫描器镜像及其漏洞模板由我们重新构建并部署。您无需更新扫描器，也无需为 Kali 主机打补丁。
数据最小化
我们保存扫描元数据与检测结果，而非原始流量。保留期可配置，您可以随时导出或删除数据。GDPR 第 5 条第 1 款(c)项。
平台监控
每个接口都有按成本分级的限流，对账户活动进行统计异常检测，并由健康看门狗在无需人工介入的情况下重启故障服务。
security.txt (RFC 9116)
我们的安全联系文件，完全符合 IETF RFC 9116。搜索引擎与安全研究人员可自动发现。
# CyberSec Pro Security Policy
# RFC 9116 Compliant
Contact: mailto:security@cyber-sec-pro.com
Contact: https://cyber-sec-pro.com/trust-center#responsible-disclosure
Acknowledgments: https://cyber-sec-pro.com/trust-center#acknowledgments
Policy: https://cyber-sec-pro.com/trust-center#responsible-disclosure
Hiring: https://cyber-sec-pro.com/careers
Preferred-Languages: en, tr
Canonical: https://cyber-sec-pro.com/.well-known/security.txt
Expires: 2027-07-31T23:59:59.000Z
漏洞披露政策
1范围
范围内：
- cyber-sec-pro.com 及其子域名
- app.cyber-sec-pro.com —— SaaS 平台
- api.cyber-sec-pro.com —— REST API
范围外：
- 社会工程与钓鱼
- 拒绝服务（DoS/DDoS）
- 物理安全
- 并非由我们运营的第三方服务
2报告渠道
请将安全漏洞报告发送至： security@cyber-sec-pro.com
报告模板：
- 主题：[SECURITY] 简短描述
- 受影响资产：URL 或接口
- 漏洞类型：XSS、SQLi、IDOR 等
- 复现步骤：1、2、3 ……
- 影响：数据泄露、权限提升等
- CVSS 评分（可选）
- 概念验证或截图
3响应 SLA
- 首次回复： ≤ 24 hours
- 状态更新： ≤ 72 hours
- 修复或例外说明： ≤ 90 days
4安全港条款
- 对于符合本政策的报告，我们不会采取法律行动
- 报告者的身份将予以保密
- 漏洞修复后将列入名人堂
- 禁止在未获书面许可的情况下进行测试
合规框架
4/10 已符合事件响应目标
这些目标说明事件被发现或报告至 security@cyber-sec-pro.com 后我们多快采取行动。CyberSec Pro 由一人运营，因此计时每天在多伦多时间 07:00 至 23:00 之间进行；夜间收到的报告从 07:00 开始计时。数据泄露的法定通报期限则全天候计算。这些是目标而非合同承诺。处理流程遵循 NIST SP 800-61 的各阶段：检测、遏制、根除、恢复、复盘。
| 优先级 | 响应 | 通知 | 解决 |
|---|---|---|---|
| P0 — 严重 | ≤ 1 小时 | ≤ 4 小时 | ≤ 24 小时 |
| P1 — 高 | ≤ 4 小时 | ≤ 24 小时 | ≤ 72 小时 |
| P2 — 中 | ≤ 24 小时 | ≤ 72 小时 | ≤ 7 天 |
| P3 — 低 | ≤ 3 天 | ≤ 7 天 | ≤ 30 天 |
子处理方
代表我们处理个人数据的第三方（GDPR 第 28 条）。每份数据处理协议（DPA）均为服务商自身条款的一部分，在开通账户时即已接受；我们没有另行签署的副本。例外是 Gmail：它是个人账户，Google 不为此类账户提供 DPA。
| 服务商 | 用途 | 所在地 | DPA |
|---|---|---|---|
| Stripe, Inc. | 支付处理 | 美国（欧盟 SCC + DPF） | ✓ 有效 |
| Cloudflare, Inc. | DDoS 防护、WAF、CDN、TLS 终止、无 Cookie 的网站分析、入站邮件转发 | 全球边缘节点（欧盟 SCC + DPF） | ✓ 有效 |
| Brevo (Sendinblue SAS) | 事务性邮件（含链接点击跟踪） | 欧盟（欧盟 SCC） | ✓ 有效 |
| Google (Gmail) | 我们的收件箱：发送到我们地址的邮件 | 美国（欧盟 SCC + DPF） | 无 |
| Cloudflare R2 | 加密数据库备份的异地存储（每份保留 30 天） | 自动放置，未设定司法管辖区（已加密；密钥仅我方持有） | ✓ 有效 |
| Google Analytics | 网站使用情况汇总统计 | 美国（欧盟 SCC + DPF） | ✓ 有效 |
最后更新：2026 年 11 月。本列表的任何变更都会在生效当天发布于此页面和隐私政策中。最近一次：Mailjet 关闭了我们的账户后，Brevo 于 2026 年 9 月 29 日取代了 Mailjet。2026 年 10 月 30 日，我们更正了 Brevo 一行，注明 Brevo 会跟踪链接点击（它一直如此）。自 2026 年 11 月 4 日起，Gmail 不再中继我们的外发邮件，仅作为我们的收件箱。
数据处理协议（DPA）
每位客户都可以获得依据 GDPR 第 28 条签订的数据处理协议：提出申请后，我们会发送给您签署。来自欧盟和英国的个人数据依据双方针对加拿大作出的充分性认定传输至我们在加拿大的系统，因此这一传输无需标准合同条款。我们的隐私政策列出了每个分处理者、其所在地以及其接收的数据。
DPA 范围
- 处理的目的与方式
- 个人数据与数据主体的类别
- 次级处理者清单及新增时的审批流程
- 技术与组织措施（TOM）
- 数据泄露通知：不得无故拖延，并在 72 小时内完成
- 国际传输及其各自依据的保障措施
数据保护影响评估
✓ 已批准，2026 年 11 月2026 年 11 月，我们依据 GDPR 第 35 条对整个服务进行了数据保护影响评估，涵盖扫描、设备识别和每周网络检查。这是一项由创始人批准的自我评估，未经数据保护官（未任命，也无此要求）或任何监管机构审查。没有任何剩余风险被评为高风险。我们每年以及在所处理的个人数据发生任何变化之前都会对其进行复审。客户可以索取副本。
安全测试与审计
我们使用自有平台并辅以人工复核，持续进行内部安全测试。独立第三方渗透测试已在计划中；完成后将在签署保密协议的前提下向企业版客户提供摘要报告。
Nuclei 3.11 + Wapiti 3.2, run against production
范围： https://app.cyber-sec-pro.com — TLS、响应头、CORS、错误配置与信息暴露模板，另加 XSS、SQL 注入与开放重定向探测
结果： 0 项严重、0 项高危、0 项中危、14 项提示。Wapiti：0 个漏洞。
CyberSec Pro Security Team (internal)
范围： 整个代码仓库的认证、授权、机密管理、API 密钥、多因素认证、单点登录与会话管理
结果： 发现若干控制措施在生产环境中并未真正生效，已重写；其所保护的机密已轮换。每项修复都由回归测试固定下来。
安全联系方式
信任中心最后更新：2026 年 9 月 · 政策版本：2.2.0 · 下次复核：2027 年 3 月