安全声明

本安全声明介绍了 Kapsule Group Limited（KapsuleHost）为保护在我们平台上托管的数据而实施的技术和组织措施。本声明由《数据处理协议》引用，并且会不时更新以反映我们安全态势的改进。

我们的核心原则是纵深防御：我们采用多层独立控制措施，确保任何单一故障都不会导致客户数据泄露。

我们维护有文件记录的信息安全和隐私政策，至少每年审查一次，当平台或威胁形势发生重大变化时进行更新。

指定的隐私官员负责数据保护合规性。安全责任由基础设施团队中的指定人员承担。

所有人员在入职时和之后每年接受隐私和安全培训。有权访问生产系统的人员受法律允许范围内的背景调查。

安全事件和近似未遂事件被记录、审查，并用于持续改进控制措施。

对生产系统和客户数据的访问受严格的基于角色的访问控制管理，遵循最小权限原则：人员仅被授予执行其特定角色所需的访问权限。

对所有拥有生产基础设施、托管控制面板、源代码和云提供商控制台访问权限的人员强制实施双因素身份验证（2FA）。

定期审查访问权限，在角色变更或人员离职时立即撤销。访问事件和权限提升均被记录。

生产环境和非生产环境严格分离。客户环境在托管平台内彼此逻辑隔离。

对生产服务器的所有管理访问均通过SSH密钥对进行身份验证；基于密码的SSH身份验证已被禁用。

客户与我们平台之间传输的所有数据均使用 TLS 1.2 或更高版本加密。TLS 证书自动签发，并在到期前自动续期。

离线备份使用 restic 与 AES-256 加密。加密密钥与备份数据分开存储，并进行离线备份。如果密钥丢失，备份数据将无法恢复，因此密钥存放在多个安全的离线位置。

加密备份存储于独立的对象存储服务商，位于大洋洲地区，与我们的主要托管基础设施在地理位置上进行了隔离。

应用程序机密、API 密钥和凭证存储在使用它们的服务器上具有受限权限的文件中，仅限需要它们的服务账户访问，且从不嵌入源代码或提交到版本控制系统中。基础设施和备份机密另外通过使用 age 加密的 SOPS 加以保护。

包括我们的营销网站、客户控制面板、我们的 API 以及我们托管的客户网站在内的每一个生产环境，均受到在我们自己的基础设施上运行的 Web 应用防火墙（ModSecurity 与 OWASP Core Rule Set）的保护。我们的营销网站还额外受到位于我们 CDN 边缘、以阻断模式运行的 Web 应用防火墙的保护。边缘层保护涵盖通过我们的 CDN 提供服务的我们托管的客户网站。这种保护并不延伸至客户控制面板或我们的 API。

客户网站不仅通过独立的文件系统账户和进程彼此隔离，也在网络层上与共享平台服务隔离。内核级防火墙规则（nftables）以每个进程自身的系统账户（而非应用逻辑）为依据，阻止任何非管理性进程（包括每个客户网站自身的应用代码）访问共享数据库端口或任何其他网站自身的应用服务器端口。此项已通过在真实网站自身执行环境内部发起真实连接尝试进行双向验证：对普通网站进程予以阻止，对系统管理予以放行。同一机制还会阻止非管理性访问原本网站进程绝不应能够到达的内部云基础设施服务端点。该机制尚未扩展到所有共享服务：平台的共享缓存服务通过限定于该网站自身数据的按站点凭证进行保护，但尚未像数据库端口和应用服务器端口那样在网络层受到额外阻止；将同样的防火墙保护扩展到该服务是我们安全计划中的一项规划中的改进。

操作系统、平台软件和应用依赖项按定期节奏进行修补。安全更新通过 unattended-upgrades 自动应用，通常在发布后一天内完成。对于关键安全补丁，包括需要人工干预（例如重启）或尚未通过自动更新提供的补丁，我们承诺的上限为发布后 7 天。面向互联网的基础设施定期扫描已知漏洞。

防火墙规则将入站访问限制为必要的最少端口和服务。不必要的服务默认禁用。

由独立合格测试人员定期进行渗透测试。重大发现已得到修复并重新测试。

身份验证尝试、账户和配置变更,以及我们自己员工对客户账户执行的操作,均记录在一个集中且不可篡改的数据库审计日志中,并至少保留90天。基础设施和系统级日志(网络服务器日志、防火墙日志和操作系统日志)在每台生产服务器上本地保留,仅限经授权人员访问,并且每小时还会发送到一个独立的异地存储库,该存储库采用一次写入、90天保留锁定机制:日志归档一旦写入,在此期间任何人(包括我们自己)均无法删除或覆盖,因此即使服务器被攻破,攻击者也无法清除其上发生过什么的证据。

平台健康状况和安全信号以24x7方式进行监控。警报被路由到值班人员以便立即调查。

我们维护一份有文件记载的事件响应计划，其中包含明确定义的严重级别、升级路径和沟通程序。该计划至少每年审查和测试一次。

在发生影响客户个人信息的已确认可通知隐私泄露事件的情况下，我们将在意识到该事件后的72小时内通知受影响的客户，如Privacy Act 2020和数据处理协议所要求。

Sentry用于在整个平台堆栈中进行实时错误追踪和应用性能监控。

客户站点文件、数据库和电子邮件数据使用 restic 每日备份到场外对象存储（大洋洲地区）。备份使用 AES-256 加密进行静态加密。

所有付费计划的备份保留期限最少为 30 天。较高级别的计划保留备份的时间更长：90 天、1 年或 7 年，具体取决于所购买的级别。具体计划的保留详情请参见《服务水平协议》。

恢复程序已在我们的内部运行手册中记录，并定期进行测试。平台团队定期进行恢复演练以验证备份完整性。

KapsuleHost 平台代码库（包括配置和预配脚本）每日备份到 kapsulenz 组织下的私有 GitHub 存储库，为平台本身提供独立的恢复路径。

每个基础设施组件的灾难恢复程序均记录了该组件特定的目标恢复时间：托管服务器最长8小时，具体取决于需要恢复的客户数据量；邮件平台为2至4小时；客户门户为4小时。

所有可以访问客户数据的人员都受到保密义务的约束，这些义务要么源于合同，要么源于法律。

我们与所有次级处理者保持书面数据处理协议。这些协议要求次级处理者实施的保护措施不低于我们《数据处理协议》中的保护措施，包括保密性、安全性和有限目的处理义务。

我们至少每年审查一次次级处理者清单，以确保其持续的适用性。在与次级处理者合作前，我们会根据我们的最低安全要求对其进行评估。

次级处理者的当前清单已发布于 kapsulehost.com/legal/sub-processors。

生产服务器在第三方数据中心运行。我们不拥有也不运营数据中心，因此物理安全、环境控制、电力冗余和消防灭火均由设施运营方负责，且我们与基础设施次级处理者签订的协议要求其提供的保护水平不低于我们《数据处理协议》所规定的保护水平。我们不公布单台生产服务器所在的国家：随着我们增设区域，容量会发生迁移，一旦公布某个位置，在其变更之日该信息即为错误，而无人会去修改它。我们所委托的次级处理者列示于 kapsulehost.com/legal/sub-processors。

对服务器硬件的物理访问仅限于获授权的数据中心人员。KapsuleHost 人员无权例行访问生产硬件；所有管理访问均通过加密通道远程执行。

停用的存储介质在重新使用或处置前，根据数据中心运营商的规程进行安全擦除或销毁。

应用程序机密、API 密钥和敏感配置值存储在使用它们的服务器上具有受限权限的文件中，且从不提交到源代码库。基础设施和备份机密通过使用 age 加密的 SOPS 单独管理。

发布前测试包括功能性、回归性和安全性重点测试运行。对身份验证、支付或数据处理流程的变更将受到额外审查。

面向客户的输入在所有应用程序边界处进行验证和清理。我们对 OWASP Top 10 风险应用标准防护，包括 SQL 注入、跨站脚本和跨站请求伪造。

KPanel身份验证:密码使用Argon2id进行哈希处理(内存困难、抗GPU破解)。新密码在接受前通过k-匿名前缀查询与Have I Been Pwned数据库进行核对。登录支持基于TOTP的双因素身份验证、短信一次性代码和硬件密钥(WebAuthn/FIDO2)。支持通过Google、GitHub、Apple Sign In和Discord进行OAuth登录。Google和Apple Sign In根据提供商自身的JWKS端点进行验证;GitHub和Discord不为OAuth登录发布JWKS端点,因此这两个改为通过使用其颁发的访问令牌直接调用提供商自身的账户API进行验证。登录尝试按IP地址进行速率限制,针对单个账户的重复失败尝试在一段时间内被锁定。会话令牌在密码学上是随机的且在密码学上被签名,在30天的不活动后过期。

客户数据在托管、数据库和应用层进行逻辑隔离。每个客户的文件和数据库均在单独的系统账户下进行隔离，不存在客户间的交叉访问。

电子邮件通过其专有的措施进行隔离和保护。每个邮箱都是一个独立的账户，由我们邮件服务器的访问控制进行隔离，并使用其自己的凭据登录。我们的邮件服务器仅接受 TLS 1.2 和 TLS 1.3：无论通过 IPv4 还是 IPv6，每个邮件端口均拒绝 TLS 1.0 和 1.1。我们完全不提供未加密的 IMAP 或 POP3，并且在连接加密之前，不提供任何类型的登录方式。服务器之间传输邮件所用的端口完全不提供登录。五分钟内登录失败五次，发起连接的 IP 地址将被封锁一小时；此外，邮件服务器还会独立封锁反复发起滥用连接的 IP 地址。邮箱数据存储在加密卷（AES-256-XTS）上，邮件备份也经过加密。我们托管邮件的每个域名都会获得其专属的 DKIM 签名密钥（包括 RSA 和 Ed25519 两种），并配有 SPF 记录。我们自己的域名 kapsulehost.com 发布了策略为 reject 的 DMARC 记录，以及以 -all 结尾的 SPF 策略，因此执行 DMARC 检查的接收服务器会拒收伪造该域名的邮件。它还发布了带有 TLS 报告的强制执行 MTA-STS 策略，要求发送服务器仅通过与经过验证的证书建立的加密连接向我们投递邮件。

当客户终止服务时，客户个人信息可在30天内导出，之后将从实时系统中永久删除。加密备份副本将在下一个定期轮换周期内清除，且删除时间不超过从实时系统中删除后的30天。

记录在案的数据删除程序确保数据从所有相关系统中被移除，包括实时数据库、缓存和应用存储，而不仅仅是主数据存储。

用于处理数据主体请求（访问、更正、删除）的程序已记录在案并经过测试。KPanel导出工具允许客户在服务期间随时检索其数据。

如果您对我们的安全实践有任何疑问，或希望报告可疑的安全漏洞，请通过 privacy@kapsulehost.com 与我们联系。

Kapsule Group Limited，新西兰。