安全政策

狀態：正式生效

版本：0.4.0

更新日：2026-08-23

支援範圍

本政策涵蓋正式網站、公開原始碼、部署流程、維護帳號，以及平台直接控制的資料處理。第三方庇護工場或來源網站不由平台控制；若問題只存在於外部網站，應回報該網站管理者，同時可通知平台調整或暫停連結。

截至更新日，平台沒有在網站內處理訂單、金流或庫存；收藏保存在瀏覽器本機，線下接手會組成電子郵件草稿。正式站的使用狀況分析採同意前不載入第三方程式、事件參數白名單、活動標記白名單及可撤回偏好；沒有有效 Measurement ID 時維持停用。未來若新增後端表單、帳號、資料庫、付款或擴大分析用途，必須在上線前更新威脅模型、隱私與安全說明。

私下回報弱點

請勿在公開議題、社群貼文或可搜尋文件中揭露可直接利用的弱點、密鑰、個資或攻擊步驟。透過網站公開聯絡方式聯絡並標示「安全回報」，先提供：

受影響網址、功能或版本。
問題類型與可能影響。
安全的重現摘要；敏感附件待確認私密管道後再提供。
是否已被利用或涉及個資。
可聯絡方式及希望是否署名。

不要取得超出驗證所需的資料，不要中斷服務、修改他人資料、進行社交工程、實體侵入、暴力測試或大量自動掃描。若意外取得個資或密鑰，停止存取並告知，不要複製或散布。

回應與揭露

平台沒有承諾固定確認、修復或公開時間，亦不以本文件形成 SLA。處理將依影響、可利用性、暴露範圍與現有資源排序。一般流程是：確認收件、降低風險、重現與分級、修復與測試、部署、輪替可能外洩的憑證、再協調公開說明。

回報者與維護者應協調揭露時間，讓使用者有合理保護機會。若平台未能處理，仍不應公開個資或可即時利用的細節；可尋求適當的資安協調機構或法律意見。平台不承諾獎金或報酬；任何有薪安全工作須另有事前書面條件。

優先風險

存取憑證、部署權限或原始碼供應鏈被入侵。
網頁腳本注入、開放重新導向或外部內容造成誤導。
表單、電子郵件或日誌意外暴露個資。
第三方圖片、連結或套件被置換成惡意內容。
依賴套件與建置工具的已知漏洞。
收藏、分析或未來資料庫的權限與保留失控。
無障礙問題讓部分使用者無法看見安全警告或退出選項。

維護要求

存取與密鑰

最小權限、個別帳號與適當多因素驗證。
密鑰不寫入原始碼、公開議題、文件或聊天紀錄。
人員離任、角色變更或疑似外洩時撤權／輪替。
正式發布權與一般貢獻權分離；高風險變更需要另一位審閱者，資源不足時公開限制。

供應鏈與部署

固定並審閱依賴變更，執行與風險相稱的漏洞、型別、靜態與正式建置檢查。
正式站由可追溯版本觸發部署，避免以不留紀錄的手動發布掩蓋自動流程問題。
不信任來源不明的建置腳本、套件或二進位檔。
保留可回復版本與必要部署紀錄，但不公開密鑰和內部安全細節。

外部內容

外部連結與圖片均視為會變動的第三方輸入。
重新導向、內容類型或來源異常時可暫停展示。
不能因資源或贊助關係略過安全檢查。

使用狀況分析

Google tag 只在有效 Measurement ID、正式部署且使用者明確同意後載入。
Consent Mode 預設拒絕分析與所有廣告用途；廣告相關權限不因接受分析而開啟。
事件名稱與參數採程式白名單，禁止表單自由文字、搜尋原文、完整網址與 Email 草稿進入分析。
活動歸因只接受限長、限字元的六個 UTM 欄位；未知 query、點擊識別碼與完整網址不得進入分析。
活動標記同意前只留在頁面記憶體；同意後才可沿用原始擷取時間暫存，總有效期最多 30 分鐘。缺核心欄位、不合法、過期或已拒絕分析時立即清除，避免跨工作階段錯誤歸因。
同站 referrer 最多保留 origin＋pathname，外部 referrer 只保留 origin，避免第三方路徑中的識別資訊進入分析。
自動表單互動、站內搜尋、完整外部連結與重複頁面瀏覽應在 GA 管理端關閉。
Measurement ID 不是密鑰，但仍由環境設定管理；原始碼不硬編正式資料流，以便停用、分環境與稽核。
同意狀態偽造、重複事件、第三方程式被置換、Cookie 未正確撤回與設定漂移都列入驗收。
分析載入失敗、被內容阻擋器封鎖或使用者拒絕時，核心功能必須維持可用。

安全事件

若發現正在利用、個資外洩或帳號遭入侵：

先限制受影響存取與功能，保留必要證據。
不在未確認前擴散敏感細節。
確認資料、帳號、版本與第三方服務的影響範圍。
修復、輪替憑證、測試並監測復發。
依法律、契約與實際風險評估通知受影響者。
公開可揭露的事件類型、影響、改善與仍未知部分。

安全透明不等於公開攻擊細節、受害者身分或仍有效的憑證。

善意研究

平台尊重以改善安全為目的、遵守本政策並避免傷害的善意研究。不過本文件不是法律豁免或全面授權。測試前若不確定範圍，先聯絡確認；未經允許不要測試第三方來源網站。