安全與信任
你的檔案屬於你，我們也如實說明還有哪些不足
你的檔案不會上傳到我們的伺服器。加密的雲備份只能用儲存在你裝置上的金鑰開啟。而且 Syncra 在替換或刪除任何檔案之前，都會先保留舊副本。
最近複核:
避免丟失資料的原則
這些是同步引擎自身的規則，而不是需要你去找的設定。
先保留舊副本
Syncra 在替換或刪除檔案之前，會先把舊副本移入版本庫（.syncra/versions）。恢復某個版本時，當前檔案也會被儲存為一個版本，因此恢復本身也可以撤銷。版本會按你設定的保留期限儲存。
大量刪除會先停下來確認
如果一次執行會刪掉資料夾中的很大一部分，它會停下來等你確認。這個保護無法關閉，只能調整閾值；AI 或 MCP 代理也不能自行解除，必須由人來確認。
先計劃，再執行
每項更改在發生前都會先制定計劃並可預覽。透過 MCP 連線的 AI 助手只能執行事先預覽過的計劃；如果期間檔案發生了變化，它必須重新制定計劃。
發生衝突時兩個版本都保留
當同一檔案在兩側都被修改時，Syncra 會把兩個版本並排保留，而不是讓其中一個覆蓋另一個。
安全寫入，不越出你的資料夾
未傳完的檔案會以臨時名稱（.syncra-part）寫入，完成後以原子方式替換。符號連結不會被跟隨，路徑也無法越出同步資料夾。
核心程式碼不含 unsafe
同步引擎、網路、雲、服務、守護程序、AI 和 MCP 各個 crate 以及桌面外殼都以 #![forbid(unsafe_code)] 編譯，因此不會意外混入記憶體不安全的程式碼。第三方依賴不在此保證範圍內。
加密與金鑰管理
Syncra 有三條資料通道，每條都有各自的保護方式。
開啟加密的雲備份
檔案內容在上傳前就在你的電腦上加密：每個 64 KiB 資料塊使用隨機的 256 位金鑰，採用 XChaCha20-Poly1305。每個資料塊都會認證自己的位置以及它在遠端中的完整路徑，因此位元組被篡改、順序被調換或被截斷、檔案被替換、金鑰錯誤，讀取時都會被發現。雲服務商看到的只有密文。
金鑰存放在哪裡
加密金鑰和恢復金鑰只儲存在作業系統的安全憑證庫中（Windows 憑證管理器、macOS 鑰匙串、Linux Secret Service），與你的其他雲端機密放在一起。它們不會寫入配置檔案，也不會傳送給 Syncra。恢復金鑰可以在另一台電腦上開啟備份。如果金鑰和電腦都丟了，包括我們在內，沒有人能恢復這些檔案。
網路內的直連同步
裝置透過QR Code 或配對碼、一次性金鑰和六位核對碼進行配對。連線使用 QUIC 與 TLS 1.3，固定裝置公鑰而不是依賴證書頒發機構，資料塊用 XChaCha20-Poly1305 封裝。全程不經過我們的伺服器。
誰能看到什麼
| 資料 | 你的裝置 | Syncra 伺服器 | 你的雲服務商 |
|---|---|---|---|
| 已加密雲端遠端的檔案內容 | 可讀 | 從不接收 | 僅有密文 |
| 在你的網路內同步的檔案內容 | 可讀 | 從不接收 | 不參與 |
| 加密金鑰與恢復金鑰 | 存於系統憑證庫 | 從不接收 | 從不接收 |
| 加密雲端連線的資料夾結構、檔案數量、大致大小和修改時間 | 可讀 | 從不接收 | 可見——在桌面版 0.1.3 及以後建立的連線中，檔案名稱和資料夾名稱本身會加密 |
| 帳戶資訊：郵箱、姓名、裝置公鑰 | 歸你所有 | 已儲存（見隱私政策） | 不參與 |
| 銀行卡資訊 | 在支付服務商頁面輸入 | 從不接收 | 不參與 |
加密需要你為每個雲端遠端單獨開啟，開啟後無法再關閉。未開啟加密的遠端，會以普通檔案的形式存放在服務商那裡。在沒有系統憑證庫的伺服器上，機密資訊會儲存在加密檔案中，其侷限在文件裡有說明。
帳戶與裝置
控制平面（帳戶、團隊、計費、裝置列表）看不到你的檔案。對於它確實儲存的資訊，保護方式如下。
簽名的裝置請求
每台裝置都有自己的 Ed25519 金鑰對。請求會對方法、路徑、時間戳、一次性 nonce 以及請求體的 SHA-256 雜湊進行簽名。伺服器對每個 nonce 只接受一次，並拒絕時間偏差超過五分鐘的請求，因此截獲的請求無法重放。撤銷裝置後，它會立即失效。
登入
你可以用郵件連結、Google 帳號或通行金鑰登入。工作階段權杖在伺服器上只以雜湊形式儲存。瀏覽器工作階段透過 CSRF 權杖和來源檢查來防範跨站請求。
靜態儲存的機密已加密
支付服務商金鑰等運營機密在儲存前用 AES-256-GCM 封裝，金鑰作為平台機密單獨保管，也絕不會返回給瀏覽器。
沒有可被偽造的支付回撥
我們不開放支付回撥（webhook）接收端點。金額只在伺服器端決定；支付完成後由伺服器直接向支付服務商查詢確認，並每十分鐘複查一次未完成的支付。銀行卡資訊只留在支付服務商那裡。
無法被修改的審計日誌
帳戶、裝置和團隊的操作會寫入審計日誌，該表在資料庫層面拒絕 UPDATE 和 DELETE。Business 工作區可以匯出日誌。
勒索軟體與恢復
同步工具傳播工作成果有多快，傳播損害就可能有多快。Syncra 的設計就是為了阻止這一點。
它會自己停下來
Syncra 在你的裝置上留意大規模破壞的跡象：批次改副檔名、高熵覆蓋寫入、突然的大量修改或刪除，以及勒索信檔名。當評分達到暫停級別，該同步對會進入保護狀態，直到有人手動恢復之前，所有自動和手動執行都會被拒絕，因此一側的損害不會蔓延到另一側。AI 代理不能恢復它。
一鍵恢復
恢復會把未受影響的一側還原到最後一個正常時間點，把受影響的一側重新與正常一側保持一致，然後解除保護。被替換的受損檔案會移入版本庫，絕不會被刪除。
時間點恢復
把整側或某個子資料夾恢復成你選定時刻的樣子，依據版本庫和審計日誌重建。恢復不會破壞任何內容，而且本身也會被記錄，所以可以用另一次恢復來撤銷。
檢測是啟發式的：可能漏掉攻擊，也可能誤報（你可以自行解除）。在 Syncra 之外直接對資料夾做的更改不會被記錄，因此時間點恢復無法回退它們，此時恢復流程會改為把正常一側複製回來。以上都不能取代離線或異地備份。
你可以自行驗證的內容
我們不能要求你全盤相信，所以這裡列出你可以自己核對的東西。
簽名的釋出版本
Windows 安裝程式和命令列工具使用頒發給 PROJECTTEAMFORYOU 的程式碼簽名證書籤名。釋出流程會拒絕釋出簽名或時間戳驗證不透過的檔案，SHA-256 校驗和（SHA256SUMS）在簽名之後計算，你可以與下載到的檔案比對。
受監控的依賴
Dependabot 每週提出依賴更新，每次更改都會在持續整合中對照 RustSec 公告資料庫以及 npm 高危級別審計進行檢查。
嚴格的網站設定
頁面帶有只允許該頁面已登記雜湊的指令碼執行的內容安全策略（CSP）、HSTS、禁止嵌入框架以及禁止內容型別嗅探。網頁應用在瀏覽器內處理資料夾，不上傳任何內容。
標準的 security.txt
我們的安全聯絡方式和報告政策釋出在 /.well-known/security.txt，這是研究人員查詢的標準位置。
報告安全漏洞
請傳送郵件至 [email protected]，主題寫“Security”。在我們修復問題之前，請不要公開提交 issue 或披露細節。歡迎使用英文或韓文報告。
請包含
- 你發現的問題，以及受影響的元件或 URL
- 復現步驟或概念驗證
- 你測試的版本或構建
- 我們如何聯絡你
我們的響應目標
- 我們會在 3 個工作日內確認收到報告。
- 我們會在 7 天內給出初步評估。
- 對嚴重問題，我們力爭在 14 天內釋出修復或緩解措施，其他問題在 90 天內。
這些是目標，而非保證。對於善意的研究，只要避免觸及他人資料和擾亂服務，我們不會採取法律行動。目前我們不設有償漏洞賞金計劃。
目前的侷限
一個不說明缺什麼的安全頁面，沒有閱讀價值。
尚未接受獨立審計
Syncra 還沒有經過獨立第三方的審查，也沒有 ISO 27001 或 SOC 2 之類的安全認證。本頁的全部內容，都是我們自己對軟體構造方式的說明。
我們的原始碼未公開
目前你無法自己閱讀程式碼。這正是我們公開上述設計事實，並對釋出版本簽名、提供校驗和的原因。
雲端加密不會隱藏結構
在新建立的加密連線（桌面版 0.1.3 及以後）中，檔案名稱和資料夾名稱也會加密，但資料夾結構、檔案數量、大致大小和修改時間仍對雲端業者可見。更早建立的連線保留可讀的名稱，且加密需要依連線分別開啟。
被入侵的電腦無法防護
如果你登入期間惡意軟體控制了電腦，它就能觸及你的帳戶能觸及的一切，包括系統憑證庫。Syncra 不能替代終端防護或離線備份。
金鑰丟了，資料就丟了
由於只有你持有加密金鑰和恢復金鑰，如果兩者都丟失，我們也無法恢復加密的備份。
路線圖
這是計劃，而非承諾，沒有一項確定了日期。
獨立安全評估
我們正在為獨立審查做準備：範圍、威脅模型、資料流文件和依賴清單。尚未確定評估機構和時間。
公開威脅模型摘要
公佈一份威脅模型摘要，包括我們接受的風險，以便接受各方批評。
Business 的單點登入
我們計劃為 Business 工作區提供透過企業身份提供商登入的功能。