租户隔离
每个工作区的数据行都由 Postgres 强制执行的行级安全策略隔离，而不只是靠应用代码；搜索索引也是按照这套策略来设计的，而不是绕开它。上传的文件按工作区各自的存储键保存，除图片外一律以下载方式提供；聊天中的文件通过十分钟后失效的链接送达访客。工作区一旦被暂停或关闭，所有 API 密钥、应用和机器人令牌、会话、聊天和实时连接都会立即停止。照片保存时会去除手机写入其中的位置、设备等元数据。
身份
密码使用 Argon2id 哈希。每个人都可以在账户安全页开启双因素认证：扫描浏览器内生成的二维码，输入验证码确认，并保存一次性恢复码；关闭时需要密码和验证码。同一页面列出每一个已登录的浏览器，可以退出其中一个，或退出其他全部。工作区可以通过 OpenID Connect 添加自己的单点登录服务商，并限定在自己的邮箱域名内；已开启双因素认证的人仍需输入验证码。会话保存在服务端，设有绝对有效期和闲置有效期。API 密钥、机器人令牌和应用令牌都以哈希形式存储，并限定在单个工作区和一组权限之内。管理员可以要求所有成员开启双因素认证，立即生效或给予 7 天或 14 天的宽限期；Kommio 自己的平台管理员必须使用双因素认证。
授权
角色决定各项权限、一个人能看到哪些会话，以及邮箱、电话、支付信息和 IP 地址等敏感字段是显示、脱敏还是隐藏。任何人都无法创建角色、修改成员、邀请他人或批准应用，使其权限超出自己所持有的范围。自动化以创建者的权限运行；应用以管理员在安装时批准的作用域运行。停用、移除成员或收窄其角色、吊销 API 密钥、暂停工作区之前，都会先显示受影响的内容，并要求输入邮箱、密钥名称或工作区名称确认；离开的成员名下的规则、机器人、webhook 和应用可以移交给拥有所需权限的同事，作者已离开的规则会暂停，直到有人接手。存放身份证件、支付信息或其他个人数据的自定义属性可以打上标记，使其遵循同样的规则；“访问权限”页面会逐人显示其能看到哪些会话，以及每类数据以何种方式呈现给他。存放身份证件或其他个人数据的文件，可以在会话中或由规则标记，之后遵循同样的授权：按角色显示、脱敏或隐藏，绝不发送给 AI 服务商，只对能看到它们的人出现在导出中，并在工作区为身份证件设定的保留期后删除。
审计
每一次变更都记录谁、改了什么、改前改后。查看脱敏值是一项单独的权限，并会写入一条独立的审计记录，可附上理由；“安全策略”页面列出过去 30 天里谁查看了哪些脱敏值，并链接到审计日志。当客户自己的网站在登录时更新联系人的姓名或邮箱，或合并一场更早的匿名聊天时，这一变更会被记录并显示在该联系人名下。每封收到的邮件还会按原样保存，默认保存 90 天（工作区设置），联系人被删除时立即删除；只有管理收件箱、且能看到完整未脱敏消息的人才能下载副本，每次下载都会写入审计日志。
加密
渠道凭据、SSO 密钥、AI 服务商密钥和令牌都以信封加密方式静态加密，保存之后不再显示。传输环节全程使用 TLS。
网站聊天
哪些网站可以显示某个工作区的聊天组件，由浏览器本身强制执行。访客只有在产生会话时才会成为联系人：匿名访客只凭其浏览器中的一个随机令牌来识别，不做浏览器指纹；由其网站为身份背书的已登录访客，在发消息、客服主动向其发起聊天或留下邮箱之前，只作为聊天会话保存，而不是联系人；30 天（期限是一项工作区设置）未出现的会话会被删除。浏览上下文只随第一条消息发送。客户网站通过自己服务器生成的签名识别已登录访客，而在聊天中输入的邮箱本身绝不会把两个人关联在一起。每个工作区自行决定访客 IP 地址是完整保存、截短保存还是不保存。
AI 助手
在管理员通过 Kommio Cloud 的免费 AI 额度或工作区自己的服务商密钥开启之前，始终处于关闭状态。只发送任务所需的内容：最近的消息、客户姓名，以及仅在提问者有权查看时才发送的邮箱或电话。支付和身份证件字段、消息中输入的卡号、用于回复建议的内部备注以及自定义属性，永远不会发送。Kommio 不保存任何提示词或回答，只保存用于预算的用量统计。可选的 AI 智能体只依据你的知识库回答，绝不向客户展示内部内容，不会收到联系人的邮箱或电话，没有把握时会转交给真人。
出入站信任
第三方服务商的 webhook 先验签再解析。发往客户自定义 URL 的出站请求（webhook、机器人、应用、AI 服务商），统一走一个防 SSRF 的客户端，拒绝私有地址段，并限制大小和耗时。出站 webhook、机器人投递和应用钩子都带签名。HTML 邮件正文在写入时净化一次，渲染时再净化一次。自托管安装可以在存储前用 ClamAV 扫描每个上传或收到的文件：被标记的文件会被拒绝或替换为占位提示，绝不会被提供下载。该功能默认关闭，Kommio Cloud 目前尚未扫描文件。
浏览器
客服端应用以严格的 Content Security Policy 提供：只允许同源的脚本、字体和连接，禁用 frame 和 object，并且自身不能被嵌入。应用面板运行在沙箱 iframe 中，使用带签名的短时效上下文。
运维
数据库角色遵循最小权限；每次变更都做依赖和容器扫描；只有整套测试全部通过、并演练过从以前版本升级之后，版本才会发布；并有成文的漏洞披露流程。Kommio Cloud 零停机部署：新版本在旧版本旁启动，就绪后接管。自托管安装内置备份，默认关闭，开启后按计划把加密的数据库转储和已存储的文件写到磁盘或存储桶；加密密钥绝不会出现在备份里。在 Kommio Cloud 上，注册按地址和邮箱域名限流，并拒绝一次性邮箱地址。自托管备份每周会恢复到一个临时数据库中进行检查，未成功时会发出告警；还可以额外加密给一把离线保管的托管密钥。
报告漏洞
请发邮件到 [email protected]。我们会在两个工作日内确认收到，并持续同步进展，直到问题解决。