安全
你的音频如何保持私密
这一页上的每一项，如今都在生产环境中运行，每一项都可以核实。
发现了问题？
请发邮件至 security@euphonaai.com。今天一封粗略的邮件，胜过下个月一封精雕细琢的邮件；我们会在3 个工作日内确认收到。
机器可读版本：/.well-known/security.txt
目前已落实
我们做了什么
七项措施，每一项此刻都在生产环境中运行，并且可以核实。
你的音频只能通过签名链接访问
音频从不经由 API 提供，也从不放在 Cookie 认证之后。每一次读取或写入，都是一个短时有效的签名 URL，只针对一个对象和一种操作，并会对照签发它的工作区进行验证。
不受信任的音频在沙箱中解码
格式异常的媒体文件，是音频平台最直接的攻击面，所以解码运行在独立的用户、网络和进程命名空间中，不具备任何特权能力，并设有内存上限和实际运行时间期限。这套机制在还没有任何公开上传入口可供攻击之前就已建好。
员工无法收听你的音频
无论是客服、运维还是管理员，都不行。我们的内部工具里没有任何可以播放客户音频的控件，也没有任何可以生成指向它的链接的途径。目前也没有例外通道：如果我们哪天需要听某个文件来排查问题，会先征求你的同意；将来如果有任何授权机制，也会是由你自己发起、并且你能看到的。
每一次对你数据的内部读取都会被记录
记录的是读取，而不只是写入。我们的运维控制台在向员工显示你账号的任何信息之前，必须先写入一条审计记录，注明是谁、看了什么、为什么看：如果这条记录写不进去，数据就不会显示。审计存储只允许追加，并且与它所审计的数据库分开存放。
高风险操作需要再看一眼
暂停平台的某个部分、回滚某个模型，以及任何类似的操作，都需要附上书面理由分步提交，并在延迟一段时间后执行：如果是正在发生的事故，可以立即执行，但必须先写下理由，事后还要补一份复盘报告。每一项这样的操作，第二天早上都会出现在审查清单上。
备份在写入磁盘之前就已加密，并且每周做恢复演练
每个数据库每晚都会直接导出为加密文件，磁盘上从来不存在明文副本，每份导出在我们的服务器上保留 14 天，并在异地副本中再保留约两周，均在我们的服务条款和隐私政策中写明的 31 天之内。每个星期天，演练程序会把最新的导出恢复到一个临时数据库中，并检查它能否响应查询，因为没人恢复过的备份只是一种希望，而不是备份。自 2026 年 9 月 18 日起，这两项都按计划运行。
依赖项和主机按固定节奏打补丁
源服务器上启用无人值守的安全更新，采用加固过的操作系统基线，防火墙规则以代码形式管理，而不是散落在 Shell 历史记录里。应用依赖项按计划更新，收到安全公告时也会更新。
漏洞披露
如何报告问题
请发邮件至 security@euphonaai.com。告诉我们你发现了什么、如何复现；你不需要提供概念验证漏洞利用程序，我们也希望你不要针对真实数据去构建它。
我们会在3 个工作日内确认收到，并告诉你我们正在做什么。我们不会威胁你；如果你愿意署名，我们会在致谢中写上你的名字。我们没有漏洞赏金计划：如果将来设立，会公布在这个页面上，而不是通过邮件协商。
请不要访问他人的数据，不要降低其他人的服务质量，也不要扣住发现的问题作为要挟筹码。这份说明的机器可读版本位于 /.well-known/security.txt。