Bảo mật
Những gì chúng tôi lưu trữ, cách khóa API được bảo vệ, và những gì tác nhân của bạn có thể chạm tới qua MCP.
Những gì chúng tôi lưu trữ
Firestore là nơi lưu trữ dữ liệu duy nhất, và nó chỉ giữ đúng những gì cần thiết để vận hành sản phẩm. Không có gì ở đây được bán hay chia sẻ.
| Dữ liệu | Những gì được giữ lại |
|---|---|
| Tài khoản | Uid của bạn, một email nếu bạn đã dùng email để đăng nhập, và nhà cung cấp bạn đã dùng. |
| Gói đăng ký | Gói, trạng thái và ngày gia hạn, được đồng bộ từ Whop. |
| Mức sử dụng | Những thiết kế bạn đã sao chép hôm nay, chỉ để áp dụng giới hạn hàng ngày. |
| Đánh dấu | Những thiết kế bạn đã lưu. |
| Khóa API tác nhân | Một mã băm SHA-256 của mỗi khóa. Không bao giờ là chính khóa đó. |
Quy tắc bảo mật Firestore
Một tài khoản chỉ có thể đọc tài liệu của chính nó, không đọc được của ai khác. Mọi thao tác ghi, trên mọi collection, đều đi qua server bằng Admin SDK; các quy tắc phía client từ chối mọi thao tác ghi hoàn toàn, vì vậy không có đường nào đi thẳng từ trình duyệt vào cơ sở dữ liệu.
Khóa API tác nhân
Một khóa là 256 bit ngẫu nhiên đứng sau tiền tố mdc_, được tạo ra một lần duy nhất và chỉ hiển thị cho bạn đúng một lần đó. Chỉ có SHA-256 của nó được lưu trữ, làm id của chính tài liệu, vì vậy nếu toàn bộ bảng bị rò rỉ, kẻ tấn công cũng không có gì để dùng lại: không có gì bí mật để đảo ngược, chỉ có một mã băm để tra cứu. Thu hồi sẽ xóa đúng dòng đó, vốn chính là thông tin xác thực, nên nó ngừng hoạt động ngay lập tức.
Tác nhân của bạn có thể làm gì qua MCP
Mọi công cụ đều chỉ là thao tác đọc. Tìm kiếm và liệt kê không cần khóa nào cả; chỉ việc lấy mã của một thiết kế mới được đo lường, và nó tốn đúng bằng những gì nút sao chép ở đây tốn.
- Nó không thể ghi vào tài khoản của bạn. Thứ duy nhất thay đổi là số lượt sao chép của bạn.
- Nó không thể đổi giao diện màu sắc của một thiết kế hay bịa ra một thiết kế không tồn tại.
- Nó không thể thấy khóa hay mức sử dụng của tài khoản khác.
Chi tiết đầy đủ về các công cụ nằm trên trang MCP.
Thanh toán
Whop là bên bán hàng chính thức; chúng tôi không bao giờ thấy số thẻ đầy đủ. Mọi webhook mà Whop gửi đều được xác minh theo chữ ký của nó (HMAC-SHA256 trên mã tin nhắn, dấu thời gian và nội dung gốc, so sánh theo thời gian không đổi) trước khi bất cứ điều gì được ghi lại, một lần gửi cũ hơn năm phút sẽ bị từ chối như một lần phát lại, và một yêu cầu không có chữ ký hoặc không khớp sẽ bị từ chối hoàn toàn.
Báo cáo sự cố
Gửi email đến support@clevens.com kèm theo những gì bạn phát hiện được. Chúng tôi tự đọc email đó; không có gì đi qua hệ thống ticket trước cả.