> ## Documentation Index
> Fetch the complete documentation index at: https://docs.hitheo.ai/llms.txt
> Use this file to discover all available pages before exploring further.

# 披露政策

> 如何报告安全漏洞以及后续处理流程。所有报告均发送至 security@opencharts.com。

感谢您帮助我们保障 Theo 的安全。OpenCharts 是 Theo 背后的母公司，
`security@opencharts.com` 是覆盖我们运营的所有产品的统一收件箱。
每条消息都会直接送达安全团队 —— 而不是普通的支持队列。

## 报告漏洞

请发送邮件至 **[security@opencharts.com](mailto:security@opencharts.com)**，并尽可能详细说明情况。我们建议包含：

1. 问题的简要描述。
2. 复现步骤 —— 最简单的请求、命令或脚本效果最佳。
3. 您认为该问题造成的影响。
4. 如果希望获得署名致谢，请附上您的联系方式。

对于疑似漏洞，请**不要**在公开的 GitHub issue、社交媒体帖子或博客中披露。

### 后续流程

* **2 个工作日内**：您将收到确认，表明已有真人查阅了您的报告。
* **7 个工作日内**：我们会告知分诊结论（受理、重复、超出范围、需要更多信息）。
* **修复期间**：我们会持续向您通报进展，并在有必要时协调披露日期。

本页面是权威的披露入口。我们的机器可读版本位于
[`hitheo.ai/.well-known/security.txt`](https://hitheo.ai/.well-known/security.txt)。

## 适用范围

### 范围内

* `hitheo.ai`、`api.hitheo.ai`、`docs.hitheo.ai`、`artifacts.hitheo.ai`
* Theo 控制台、API 路由，以及嵌入式小组件运行时
* 四个公开的 npm 包：`@hitheo/sdk`、`@hitheo/mcp`、
  `@hitheo/telegram`、`@hitheo/whatsapp`
* 我们的 GitHub Actions 工作流（`.github/workflows/**`）

### 范围外

* 针对我们生产端点的拒绝服务测试
* 对我们团队或客户进行社会工程攻击
* 物理接触我们的基础设施
* 需要攻击者已经掌控受害者的浏览器、操作系统、邮箱账号、npm 账号
  或 GitHub 账号才能利用的问题

## 安全港条款

对于以下研究人员，我们不会追究其法律责任：

1. 秉持善意遵循本政策。
2. 除演示问题所必需的范围外，不故意访问或修改其他用户的数据。
3. 避免使用会降低其他客户服务质量的技术手段。
4. 在公开披露前给予我们合理的修复时间。

## 供应链：验证 npm 来源认证

每个官方 `@hitheo/*` 包都附带由 GitHub 的 OIDC 令牌签名的 npm
来源认证（provenance attestation）。您可以通过以下命令验证所安装的软件包压缩包：

```bash theme={null}
npm audit signatures
```

关于供应链来源认证在 Theo 中的具体工作原理，请参阅
[身份验证](/security/authentication) 页面的详细说明。

## 密钥卫生

如果您在我们的代码、日志或任何公开界面中发现泄露的凭据 —— 例如
API 密钥、数据库 URL、Clerk 密钥、Cloudflare 令牌等 —— 请发送邮件至
`security@opencharts.com`。我们会轮换受影响的密钥，并通知可能受到
影响的客户。

我们在日志记录器中维护了一份形似密钥的模式列表，以便在敏感值离开
进程之前对其进行脱敏处理。如果您发现有泄露内容绕过了我们的脱敏
机制，我们尤其欢迎您报告。


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.