使用说明
本文件用于安全页面、漏洞报告、企业客户问卷、账号被盗/密钥泄露处理和开发者安全责任说明。
1. 共享责任模型
PocketBay 负责在合理范围内维护平台基础设施、控制台、API、核心服务、内部安全流程、访问控制、监控、漏洞修复、备份/灾备能力（如适用）和上游服务管理。平台管理的控制措施包括用户数据隔离、Secrets 分离、副本构建清单、项目记忆权限、公共索引控制和人工支持访问控制。PocketBay 的安全责任不代表对你的代码、依赖、配置、密钥、权限、数据库、业务逻辑、最终用户、第三方集成或合规要求承担责任；你仍负责你的应用业务逻辑和合法指令，平台仍负责自己控制的基础设施及服务流程。
你负责你的账号安全、团队权限、代码安全、依赖安全、开源许可、密钥管理、环境变量、数据库访问、应用认证授权、输入验证、日志脱敏、备份、监控、告警、合规、最终用户通知和你的应用安全事件响应。
共享责任边界会因套餐、功能、第三方集成、企业协议、部署方式、地域和配置而变化。除非 PocketBay 明确书面承诺，任何安全功能、监控、DDoS 缓解、证书、自动修复或 AI 诊断均不构成绝对安全或合规保证。
2. 漏洞披露范围和规则
如果你善意发现 PocketBay 平台、控制台、API、文档、公开域名或 PocketBay 自有系统的安全漏洞，请发送报告至 support@pocketbay.com，邮件标题使用“安全漏洞报告”。请包含漏洞说明、影响范围、复现步骤、证据、URL、账号信息（如适用）、风险评估和联系方式。
禁止在未经授权情况下访问、修改、删除、导出或破坏他人数据；禁止持久化控制、横向移动、社工、钓鱼、垃圾邮件、DDoS、暴力破解、物理攻击、员工骚扰、勒索、公开披露未修复漏洞或在非必要范围内利用漏洞。
PocketBay 目前不承诺漏洞赏金或金钱奖励。善意、安全、最小化影响、及时报告并遵守本政策的研究，PocketBay 通常不会因该研究本身主动追究法律责任；但该安全港不适用于违法、恶意、破坏性、侵犯隐私、勒索、公开利用或违反第三方规则的行为。
3. 安全事件和用户义务
如果你发现账号被盗、密钥泄露、数据库暴露、恶意代码、异常流量、未授权访问、数据泄露、漏洞、钓鱼页面、恶意依赖、开源许可风险或最终用户安全事件，你应立即采取补救措施并通知 PocketBay。你应配合 PocketBay、上游服务商、付款机构、监管机构和受影响方进行调查和补救。
PocketBay 可在安全事件中限制、暂停、隔离、重启、回滚、删除、禁用网络、禁用 API、撤销密钥、回收资源、阻断域名、保存日志或采取其他保护措施。PocketBay 不因善意安全措施承担退款、赔偿或补偿责任，除非适用法律强制要求。
你不得公开披露可能影响 PocketBay、其他用户或第三方安全的细节，除非 PocketBay 已确认修复或法律要求。你应避免在日志、环境变量、公开仓库、错误页面、截图、Discover 上架内容或支持请求中泄露密钥、个人信息或敏感数据。