Keamanan
Apa yang kami simpan, bagaimana kunci API dilindungi, dan apa yang bisa disentuh agen Anda lewat MCP.
Apa yang kami simpan
Firestore adalah satu-satunya penyimpanan data, dan isinya persis apa yang dibutuhkan untuk menjalankan produk ini. Tidak ada apa pun di sini yang dijual atau dibagikan.
| Data | Apa yang disimpan |
|---|---|
| Akun | Uid Anda, email jika Anda masuk dengan email, dan penyedia yang Anda gunakan. |
| Langganan | Paket, status, dan tanggal perpanjangan, dicerminkan dari Whop. |
| Penggunaan | Desain apa saja yang Anda salin hari ini, semata untuk menegakkan batas harian. |
| Tersimpan | Desain yang Anda simpan. |
| Kunci API agen | Hash SHA-256 dari setiap kunci. Tidak pernah kuncinya sendiri. |
Aturan keamanan Firestore
Sebuah akun hanya bisa membaca dokumen miliknya sendiri, tidak yang lain. Setiap penulisan, di setiap koleksi, melewati server dengan Admin SDK; aturan di sisi klien menolak semua penulisan secara mutlak, sehingga tidak ada jalur dari browser langsung ke database.
Kunci API agen
Sebuah kunci adalah 256 bit keacakan di balik awalan mdc_, dibuat sekali dan ditampilkan kepada Anda persis satu kali itu saja. Hanya hash SHA-256-nya yang pernah disimpan, sebagai id dokumen itu sendiri, sehingga kebocoran seluruh tabel tidak memberi apa pun ke penyerang untuk diputar ulang: tidak ada rahasia yang bisa dibalik, hanya hash yang bisa dicari. Mencabut kunci menghapus satu baris itu, yang merupakan kredensialnya, sehingga langsung berhenti berfungsi.
Apa yang bisa dilakukan agen Anda lewat MCP
Setiap alat sifatnya hanya membaca. Mencari dan mendaftar sama sekali tidak butuh kunci; hanya mengambil kode sebuah desain yang diukur, dan biayanya persis sama dengan tombol salin di sini.
- Ia tidak bisa menulis ke akun Anda. Satu-satunya yang berubah adalah hitungan salinan Anda.
- Ia tidak bisa mendesain ulang temanya atau mengarang desain yang tidak ada.
- Ia tidak bisa melihat kunci atau penggunaan akun lain.
Detail lengkap tentang alat-alatnya sendiri ada di halaman MCP.
Pembayaran
Whop adalah merchant of record; kami tidak pernah melihat nomor kartu lengkap. Setiap webhook yang dikirimnya diverifikasi terhadap tanda tangannya (HMAC-SHA256 atas id pesan, stempel waktu, dan body mentah, dibandingkan dalam waktu konstan) sebelum apa pun ditulis, kiriman yang lebih tua dari lima menit ditolak sebagai pengulangan, dan permintaan yang tidak bertanda tangan atau tidak cocok langsung ditolak.
Melaporkan masalah
Kirim email ke support@clevens.com dengan apa yang Anda temukan. Kami membacanya sendiri; tidak ada yang melewati sistem tiket lebih dulu.