安全實踐
合規性
Zeabur 目前正在申請 SOC 2 Type II 認證。我們的合規計畫涵蓋安全性、可用性與機密性的信任服務準則。我們致力於在規模擴展的同時，取得並維持業界認可的認證。
基礎設施安全
Zeabur 在全球多個基礎設施供應商之間運作，以提供穩定、低延遲的服務：
- Amazon Web Services (AWS)
- Google Cloud Platform (GCP)
- Hetzner
- Linode (Akamai)
- DigitalOcean
- Tencent Cloud
- Alibaba Cloud
- Volcengine
- Glows.ai
所有基礎設施供應商皆依據其成熟的安全防護體系、實體資料中心保護及合規認證進行篩選。Zeabur 在所有區域中使用供應商原生的安全功能，包括網路隔離、防火牆規則及 DDoS 防護。
資料加密
傳輸中加密
客戶與 Zeabur 之間傳輸的所有資料均使用 TLS 1.2 或更高版本加密。這適用於所有 API 端點、儀表板存取，以及平台內部的服務間通訊。部署在 Zeabur 上的客戶服務透過 HTTPS 提供，並自動配置憑證。
靜態加密
正式環境資料儲存於 MongoDB Atlas，預設使用 AES-256 加密進行靜態加密。正式環境資料庫的存取僅限於透過 Tailscale 連線的裝置。
存取控制
身份驗證
- 所有員工透過 Google Workspace 進行身份驗證，並強制啟用雙因素驗證（2FA）。
- 存取正式環境資料庫及內部系統需透過 Tailscale 連線，僅經核准的使用者可將裝置加入網路。
端點安全
- Zeabur 正在導入行動裝置管理（MDM），將所有公司裝置納入集中管理。
- 僅經 Tailscale 核准的裝置可存取內部頁面及正式環境資料庫。
最小權限原則
- 團隊成員僅獲授予執行其職責所需的最低存取權限。
- 對正式環境基礎設施、資料庫及客戶環境的存取受到限制並接受稽核。
- 存取權限會定期審查，並在角色變更或離職時立即撤銷。
安全開發
Zeabur 將安全融入整個軟體開發生命週期：
- 程式碼審查：所有程式碼變更在合併至正式分支前，都需要透過 Pull Request 進行同儕審查。
- CI/CD 管線：自動化的建置、測試與部署管線會對每次變更執行品質與安全檢查。
- 相依套件掃描：自動掃描第三方相依套件中的已知漏洞，並針對重大問題發出警示。
- 環境隔離：開發、預備及正式環境進行邏輯隔離，以防止未經授權存取正式資料。
事件回應
Zeabur 維護一份文件化的事件回應計畫，涵蓋：
- 偵測與警報：部署監控與警報系統，以偵測異常行為、未授權存取及基礎設施故障。
- 分類與回應：依嚴重程度對事件進行分類、指派負責人並協調回應工作的既定流程。
- 通知：當安全事件影響客戶的資料或服務時，會及時通知受影響的客戶。
- 事後檢討：所有重大事件後都會進行事後分析，以找出根本原因並實施預防措施。
資料處理與隱私
- 客戶資料僅用於依客戶要求提供及營運服務。
- Zeabur 不會將客戶資料出售、出租或轉讓給第三方。
- 帳號終止後，客戶資料會保留 7 天以供匯出，之後將永久刪除。
- 如需完整細節，請參閱我們的隱私權政策。
網路安全
- 所有客戶工作負載均在隔離的容器中執行，具備網路層級的隔離。
- 入站與出站流量受到過濾與監控。
- 內部服務通訊僅限於授權的端點。
- Cloudflare 用於客戶網域的邊緣安全、CDN 及 DDoS 防護。
實體安全
Zeabur 仰賴基礎設施供應商的實體安全控制措施。Zeabur 使用的所有資料中心設施均維持業界標準的實體安全措施，包括生物辨識門禁、全天候監控及環境保護。詳情請參閱各供應商的合規文件。
負責任揭露
如果您發現 Zeabur 的安全漏洞，請向 [email protected] 回報。我們嚴肅對待所有回報，並會及時調查與回覆。我們懇請您在公開揭露前，給予我們合理的時間處理問題。