> ## Documentation Index
> Fetch the complete documentation index at: https://docs.hitheo.ai/llms.txt
> Use this file to discover all available pages before exploring further.

# 披露政策

> 如何報告安全漏洞以及後續處理流程。所有報告均發送至 security@opencharts.com。

感謝您幫助我們保障 Theo 的安全。OpenCharts 是 Theo 背後的母公司，
`security@opencharts.com` 是覆蓋我們運營的所有產品的統一收件箱。
每條消息都會直接送達安全團隊 —— 而不是普通的支持隊列。

## 報告漏洞

請發送郵件至 **[security@opencharts.com](mailto:security@opencharts.com)**，並儘可能詳細說明情況。我們建議包含：

1. 問題的簡要描述。
2. 復現步驟 —— 最簡單的請求、命令或腳本效果最佳。
3. 您認為該問題造成的影響。
4. 如果希望獲得署名致謝，請附上您的聯繫方式。

對於疑似漏洞，請**不要**在公開的 GitHub issue、社交媒體帖子或博客中披露。

### 後續流程

* **2 個工作日內**：您將收到確認，表明已有真人查閱了您的報告。
* **7 個工作日內**：我們會告知分診結論（受理、重複、超出範圍、需要更多信息）。
* **修復期間**：我們會持續向您通報進展，並在有必要時協調披露日期。

本頁面是權威的披露入口。我們的機器可讀版本位於
[`hitheo.ai/.well-known/security.txt`](https://hitheo.ai/.well-known/security.txt)。

## 適用範圍

### 範圍內

* `hitheo.ai`、`api.hitheo.ai`、`docs.hitheo.ai`、`artifacts.hitheo.ai`
* Theo 控制台、API 路由，以及嵌入式小組件運行時
* 四個公開的 npm 包：`@hitheo/sdk`、`@hitheo/mcp`、
  `@hitheo/telegram`、`@hitheo/whatsapp`
* 我們的 GitHub Actions 工作流（`.github/workflows/**`）

### 範圍外

* 針對我們生產端點的拒絕服務測試
* 對我們團隊或客戶進行社會工程攻擊
* 物理接觸我們的基礎設施
* 需要攻擊者已經掌控受害者的瀏覽器、操作系統、郵箱賬號、npm 賬號
  或 GitHub 賬號才能利用的問題

## 安全港條款

對於以下研究人員，我們不會追究其法律責任：

1. 秉持善意遵循本政策。
2. 除演示問題所必需的範圍外，不故意訪問或修改其他用戶的數據。
3. 避免使用會降低其他客戶服務質量的技術手段。
4. 在公開披露前給予我們合理的修復時間。

## 供應鏈：驗證 npm 來源認證

每個官方 `@hitheo/*` 包都附帶由 GitHub 的 OIDC 令牌簽名的 npm
來源認證（provenance attestation）。您可以通過以下命令驗證所安裝的軟件包壓縮包：

```bash theme={null}
npm audit signatures
```

關於供應鏈來源認證在 Theo 中的具體工作原理，請參閱
[身份驗證](/security/authentication) 頁面的詳細說明。

## 密鑰衞生

如果您在我們的代碼、日誌或任何公開界面中發現泄露的憑據 —— 例如
API 密鑰、數據庫 URL、Clerk 密鑰、Cloudflare 令牌等 —— 請發送郵件至
`security@opencharts.com`。我們會輪換受影響的密鑰，並通知可能受到
影響的客戶。

我們在日誌記錄器中維護了一份形似密鑰的模式列表，以便在敏感值離開
進程之前對其進行脫敏處理。如果您發現有泄露內容繞過了我們的脫敏
機制，我們尤其歡迎您報告。


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.