信任中心

我们安全页面背后的技术细节，供 IT 团队、开发者以及任何做尽职调查的人参考。除非另有说明，这里列出的每一项目前都已落实。

最后更新：2026年10月12日

托管和数据位置

• 服务器：位于英国伦敦。它们运行 API、AI 连接器、控制台和已发布网站的访问服务，并存放账号数据库。
• 网站文件：保存在欧盟的持久对象存储中。该存储是权威记录；伦敦的服务器只保留缓存。
• 数据库备份：位于同一欧盟存储中，放在独立的存储桶里，使用独立的密钥。
• 边缘：一个全球网络在靠近访客的地方提供并缓存公开页面。
• 英国/欧盟以外：我们的登录、支付和邮件服务会在美国处理部分数据。这些公司列在我们的子处理方页面上。

网络与传输

• pagelemon.com 和 pagelemon.dev 上的每个主机名都通过全球边缘网络提供服务，该网络提供 DDoS 防护以及边缘 TLS。普通 HTTP 会被重定向到 HTTPS。
• 源站锁定：我们的服务器会丢弃不是来自边缘网络公布的 IP 范围的网络请求，所以无法直接访问源站来绕过它。
• 从边缘网络到我们服务器的这一跳同样经过加密，并使用源站证书。
• pagelemon.com 以及应用、API 和连接器主机均启用 HSTS（6 个月，包括子域名）。.dev 是已加入 HSTS 预加载列表的顶级域名，因此浏览器只会通过 HTTPS 访问用户网站。

网站隔离与响应头

• 独立的可注册域名。用户网站由 *.pagelemon.dev 提供；账号、控制台和 API 位于 pagelemon.com。用户网站的 Cookie 和存储永远无法触及账号会话。
• 营销网站启用严格的内容安全策略（脚本只能来自我们自己的源，禁止嵌入框架），控制台启用 X-Frame-Options: DENY。
• 用户网站在发送时附带 X-Content-Type-Options: nosniff、严格的 Referrer 策略和 Cross-Origin-Opener-Policy: same-origin-allow-popups。我们不会向其中注入任何脚本、跟踪器或 Cookie；免费套餐的标识是纯 HTML 和 CSS。
• 设有密码的网站和会员专属网站绝不会存入共享缓存（Cache-Control: private, no-store），也绝不会被搜索引擎收录。
• 网站因滥用被下线时，会附带 Clear-Site-Data 发送，让访客的浏览器清除其缓存、存储和 Service Worker。
• 网站密码使用 scrypt 进行哈希处理（每个网站使用随机盐值）。访客的解锁 Cookie 经过 HMAC 签名，带有 HttpOnly 和 Secure；更改密码会使所有旧 Cookie 失效。解锁失败的尝试会受到频率限制。

服务器加固

• SSH 仅限指定的个人密钥：密码登录和 root 登录均已关闭。主机防火墙只允许 SSH 和 Web 流量。
• 每个服务都以非 root 用户身份运行在各自的容器中，文件系统只读，所有 Linux capabilities 均已移除，禁止权限提升，并有独立的内存和进程限制，因此一处故障不会拖垮其他服务。
• 密钥按服务拆分：应用程序看不到备份密钥，备份任务也看不到登录、付款或邮件密钥。
• 存储密钥仅限单个存储桶，并锁定到我们服务器的 IP 地址。邮件密钥只能发送邮件。
• 每次发布前都会运行自动化测试套件。发布镜像在服务器之外构建，并保留上一个镜像，一条命令即可回滚。
• 工作人员在管理工具中的操作都会记录在审计日志中，敏感操作要求最近 10 分钟内登录过。

备份、版本与恢复

• 持续数据库备份：改动会在几秒内流式传输到欧盟存储，并支持按时间点恢复。
• 经过测试的恢复：恢复演练会用备份重建数据库并进行完整性检查。最近一次运行于 2026 年 10 月 12 日：通过。
• 删除锁定：近期的网站文件和数据库备份受存储桶锁保护，即使用我们服务器自己的密钥也无法删除。
• 版本不可变：每次发布都会生成一个新的、不可更改的版本；上线只是切换指向，回滚只需一次调用。每个版本保留 30 天，之后保留每周的最后一个版本，最长保留时间按套餐从 7 天（Free）到 2 年（Company）不等。
• 修改不会丢失：每次发布都会注明它基于哪个版本；如果期间有其他人发布过，这次发布会被拒绝并给出明确的冲突提示，而不是覆盖对方的工作。
• 过期内容兜底：如果我们的源站宕机或出错，已公开发布的文件最长可在边缘缓存中继续提供 7 天。私密网站绝不会被缓存。
• 监控：一台独立服务器上的外部检查每 5 分钟测试一次 API、控制台和连接器，失败时发送邮件警报。存储的文件缺失时，应用程序也会发出警报。

登录与账号安全

账号登录由专业的登录服务处理。目前：

• 登录方式：一次性邮箱验证码、Google 或密码。邮箱地址会通过验证码验证。
• 密码：至少 15 个字符，在注册和登录时都会与已知泄露密码进行比对。
• 多次尝试失败后锁定账号。
• 我们只接收经过签名的会话令牌，并在每次请求时对照我们自己的域名进行验证。我们从不查看或存储账号密码。

仅限会员的网站让访客使用邮箱地址在 app.pagelemon.com 登录，然后向网站交付一次性代码以设置其自己的 cookie。网站本身不运行任何登录脚本。银行卡支付由我们的支付处理方处理；卡号绝不会经过我们的服务器。

AI 连接与 API 令牌

• AI 应用通过带 PKCE（S256）和资源指示符的 OAuth 连接。访问令牌有效期 1 小时；刷新令牌每次使用后轮换，连接闲置 30 天后结束，重复使用旧的授权码或刷新令牌会撤销整个连接。
• API 令牌和网站令牌只以 SHA-256 哈希形式存储。每个令牌都有权限范围（deploy 或 deploy + manage），可以限定到一个网站，可以设置过期时间，也可以随时撤销。
• 人工批准：邀请他人、移除网站密码、重命名和移交网站时，会返回一个批准链接，账号所有者必须在登录状态下打开并确认。仅凭令牌无法完成这些操作。破坏性操作需要两步确认。
• 每当新增令牌或 AI 连接，账号所有者在应用内的通知中都会收到提示，通常也会收到邮件。

上传检查

• 泄露防护：每个文本文件都会扫描常见类型的密钥和私钥。一旦匹配，整个上传都会被拦截，并报告对应的文件和行号。
• 版本控制文件夹、环境变量文件、依赖文件夹、源码映射和密钥文件会被跳过，永远不会被提供访问。
• 解压归档文件时会限制大小和文件数量；链接、设备文件、绝对路径和 .. 路径都会被拒绝。
• 匿名网站和免费网站只接受网页文件，并按内容检查：不允许程序、安装包或脚本，二进制文件必须确实是图片、字体、音频、视频、PDF 或 WebAssembly。
• 无账号上传按网络限制次数。

网络钓鱼与滥用

• 自选的网站名称如果是保留名称、冒充高风险品牌（银行、支付、快递、加密货币、政府、大型科技公司，包括形似的拼写），或包含常见的钓鱼字眼，都会被拒绝。冒充这些品牌的自定义域名同样会被拒绝。
• 未认领的网站会在 72 小时后过期，且不能设置密码，因此无法逃避审查。未认领的网站和发布不满 7 天的网站会发送 noindex。
• 任何人都可以在 pagelemon.com/report 举报任何网站（每个网站也会通过 /_pagelemon/report 及其 security.txt 链接到那里）；举报会交给工作人员，他们可以立即暂停网站并封禁账号。每一项工作人员操作都会留有审计记录。
• 如果页面在网站插件旁边放了密码字段，插件会发出警告，并可能被关闭。

邮件认证

• *.pagelemon.dev：null MX、v=spf1 -all 和 DMARC p=reject，因此任何用户网站地址都无法收信，也无法被用来伪造邮件。
• 代表网站发送的邮件来自 pagelemon.dev，带 DKIM 签名，并采用严格的 DMARC（p=reject，严格对齐）。我们自己的邮件来自 pagelemon.com，带 DKIM 签名，DMARC 为 p=reject，因此冒用我们地址的邮件会被拒收。
• 网站邮件和我们自己的邮件使用不同的域名，因此被滥用的网站发出的垃圾邮件不会影响登录和账单邮件的送达。

日志与数据保留

• 应用、API 和已发布网站的访问日志仅存储截断后的 IP 地址，并去除授权标头、cookie、查询字符串和密钥链接令牌。在我们的营销网站上，日志只保留查询字符串中的 ref、invite 和 utm_ 部分，它们让我们知道你是通过哪个链接来的。所有日志的轮换周期都远短于 30 天。
• 无账号发布的网站，其上传者 IP 地址会在 30 天后删除。
• 已删除网站的文件会在 7 天后移除。你可以把任何网站下载为 zip，也可以自己删除账号。

认证

我们的托管、边缘网络、登录、支付和邮件服务由成熟的提供商运营，它们持有 SOC 2 Type II 和 ISO/IEC 27001 等独立安全认证，我们的支付处理商为 PCI DSS 一级。这些提供商的规模远大于 Page Lemon，所以容量会随我们一起增长；我们自己分步增长的计划已有书面记录，并由实测负载触发。所有替我们处理你数据的公司都列在我们的子处理方页面上。

尚未完成

与其让你自己发现，不如我们先说清楚：

• Public Suffix List：pagelemon.dev 尚未加入 Public Suffix List。在加入之前，浏览器会把 pagelemon.dev 上的同级网站视为同一个网站来处理 Cookie。我们的账号不受影响（它们在 pagelemon.com 上）；提交申请正在准备中。
• Page Lemon 账号尚未提供两步验证登录。
• Page Lemon 本身没有 SOC 2 或 ISO 27001 认证。

报告漏洞

请发邮件至 support@pagelemon.com。在我们修复问题之前，请勿访问他人的数据、干扰服务或公开细节。对于遵守这些规则的善意研究，我们不会采取法律行动；如果你愿意，我们还会公开致谢。我们的联系方式也列在 security.txt 中。

如果要举报有害网站，请使用举报网站。