安全

报告漏洞

发现安全问题请发邮件至 support@scanchess.com，标题带上「Security」。请描述复现步骤与影响，我们会在 3 个工作日内答复，并在修复后告知你结果。

我们不会对善意的安全研究采取法律行动，前提是：不访问、不修改、不外泄他人数据；不做拒绝服务或垃圾信息测试；在我们修复前不公开披露。目前没有付费赏金计划，但我们会在致谢中署名（如果你愿意）。

数据如何保护

• 所有流量通过 HTTPS 传输，站点与 API 由 Cloudflare 前置。
• 密码使用 bcrypt 加盐哈希存储，我们无法读取你的原始密码。
• 网页会话使用签名 JWT 并保存在 HttpOnly Cookie 中；修改密码会撤销此前签发的会话与密码重置令牌。
• 支付信息我们从不接触：网页版结算由经销商 Waffo 托管，我们只收到订单号与订阅状态。
• 账户删除是真删除，不是标记：账户、棋谱、上传的图片一并移除，且不可恢复。

你上传的图片

记谱单照片会传输给我们使用的第三方 AI 模型服务商进行识别，具体范围见隐私政策。图片与你的账户绑定，你可以随时删除单盘对局，或注销账户一并删除。

我们没有的

坦白讲：我们目前没有 SOC 2、ISO 27001 等第三方审计认证，也没有正式的赏金计划。ScanChess 是个小团队的产品。如果你所在的机构需要这类合规材料，请来信说明需求，我们会如实告知能提供什么。