Skip to main content
感谢您帮助我们保障 Theo 的安全。OpenCharts 是 Theo 背后的母公司， security@opencharts.com 是覆盖我们运营的所有产品的统一收件箱。 每条消息都会直接送达安全团队 —— 而不是普通的支持队列。

​
报告漏洞

请发送邮件至 security@opencharts.com，并尽可能详细说明情况。我们建议包含：
  1. 问题的简要描述。
  2. 复现步骤 —— 最简单的请求、命令或脚本效果最佳。
  3. 您认为该问题造成的影响。
  4. 如果希望获得署名致谢，请附上您的联系方式。
对于疑似漏洞，请不要在公开的 GitHub issue、社交媒体帖子或博客中披露。

​
后续流程

  • 2 个工作日内：您将收到确认，表明已有真人查阅了您的报告。
  • 7 个工作日内：我们会告知分诊结论（受理、重复、超出范围、需要更多信息）。
  • 修复期间：我们会持续向您通报进展，并在有必要时协调披露日期。
本页面是权威的披露入口。我们的机器可读版本位于 hitheo.ai/.well-known/security.txt。

​
适用范围

​
范围内

  • hitheo.ai、api.hitheo.ai、docs.hitheo.ai、artifacts.hitheo.ai
  • Theo 控制台、API 路由，以及嵌入式小组件运行时
  • 四个公开的 npm 包：@hitheo/sdk、@hitheo/mcp、 @hitheo/telegram、@hitheo/whatsapp
  • 我们的 GitHub Actions 工作流（.github/workflows/**）

​
范围外

  • 针对我们生产端点的拒绝服务测试
  • 对我们团队或客户进行社会工程攻击
  • 物理接触我们的基础设施
  • 需要攻击者已经掌控受害者的浏览器、操作系统、邮箱账号、npm 账号 或 GitHub 账号才能利用的问题

​
安全港条款

对于以下研究人员，我们不会追究其法律责任：
  1. 秉持善意遵循本政策。
  2. 除演示问题所必需的范围外，不故意访问或修改其他用户的数据。
  3. 避免使用会降低其他客户服务质量的技术手段。
  4. 在公开披露前给予我们合理的修复时间。

​
供应链：验证 npm 来源认证

每个官方 @hitheo/* 包都附带由 GitHub 的 OIDC 令牌签名的 npm 来源认证（provenance attestation）。您可以通过以下命令验证所安装的软件包压缩包：
关于供应链来源认证在 Theo 中的具体工作原理，请参阅 身份验证 页面的详细说明。

​
密钥卫生

如果您在我们的代码、日志或任何公开界面中发现泄露的凭据 —— 例如 API 密钥、数据库 URL、Clerk 密钥、Cloudflare 令牌等 —— 请发送邮件至 security@opencharts.com。我们会轮换受影响的密钥，并通知可能受到 影响的客户。 我们在日志记录器中维护了一份形似密钥的模式列表，以便在敏感值离开 进程之前对其进行脱敏处理。如果您发现有泄露内容绕过了我们的脱敏 机制，我们尤其欢迎您报告。