Skip to main content
感謝您幫助我們保障 Theo 的安全。OpenCharts 是 Theo 背後的母公司， security@opencharts.com 是覆蓋我們運營的所有產品的統一收件箱。 每條消息都會直接送達安全團隊 —— 而不是普通的支持隊列。

​
報告漏洞

請發送郵件至 security@opencharts.com，並儘可能詳細說明情況。我們建議包含：
  1. 問題的簡要描述。
  2. 復現步驟 —— 最簡單的請求、命令或腳本效果最佳。
  3. 您認為該問題造成的影響。
  4. 如果希望獲得署名致謝，請附上您的聯繫方式。
對於疑似漏洞，請不要在公開的 GitHub issue、社交媒體帖子或博客中披露。

​
後續流程

  • 2 個工作日內：您將收到確認，表明已有真人查閱了您的報告。
  • 7 個工作日內：我們會告知分診結論（受理、重複、超出範圍、需要更多信息）。
  • 修復期間：我們會持續向您通報進展，並在有必要時協調披露日期。
本頁面是權威的披露入口。我們的機器可讀版本位於 hitheo.ai/.well-known/security.txt。

​
適用範圍

​
範圍內

  • hitheo.ai、api.hitheo.ai、docs.hitheo.ai、artifacts.hitheo.ai
  • Theo 控制台、API 路由，以及嵌入式小組件運行時
  • 四個公開的 npm 包：@hitheo/sdk、@hitheo/mcp、 @hitheo/telegram、@hitheo/whatsapp
  • 我們的 GitHub Actions 工作流（.github/workflows/**）

​
範圍外

  • 針對我們生產端點的拒絕服務測試
  • 對我們團隊或客戶進行社會工程攻擊
  • 物理接觸我們的基礎設施
  • 需要攻擊者已經掌控受害者的瀏覽器、操作系統、郵箱賬號、npm 賬號 或 GitHub 賬號才能利用的問題

​
安全港條款

對於以下研究人員，我們不會追究其法律責任：
  1. 秉持善意遵循本政策。
  2. 除演示問題所必需的範圍外，不故意訪問或修改其他用戶的數據。
  3. 避免使用會降低其他客戶服務質量的技術手段。
  4. 在公開披露前給予我們合理的修復時間。

​
供應鏈：驗證 npm 來源認證

每個官方 @hitheo/* 包都附帶由 GitHub 的 OIDC 令牌簽名的 npm 來源認證（provenance attestation）。您可以通過以下命令驗證所安裝的軟件包壓縮包：
關於供應鏈來源認證在 Theo 中的具體工作原理，請參閱 身份驗證 頁面的詳細說明。

​
密鑰衞生

如果您在我們的代碼、日誌或任何公開界面中發現泄露的憑據 —— 例如 API 密鑰、數據庫 URL、Clerk 密鑰、Cloudflare 令牌等 —— 請發送郵件至 security@opencharts.com。我們會輪換受影響的密鑰，並通知可能受到 影響的客戶。 我們在日誌記錄器中維護了一份形似密鑰的模式列表，以便在敏感值離開 進程之前對其進行脫敏處理。如果您發現有泄露內容繞過了我們的脫敏 機制，我們尤其歡迎您報告。