憑證加密
通道憑證以 AES-256-GCM 加密後寫入資料庫；管理 API 只回傳遮罩摘要，不回傳密文或完整憑證。
讓通知憑證與客戶資料保持可控
資安不是首頁徽章，而是從資料邊界、授權、加密、輸入驗證到操作記錄的完整設計。以下內容描述目前產品已實作的控制措施。
租戶隔離
公司、通道、聯絡人、訊息與 API 金鑰均帶公司範圍，服務層會檢查資源歸屬。
身分與權限
後台區分系統管理員與公司管理員，並以細分權限控制通道、聯絡人、發送與金鑰操作。
API 金鑰
API 金鑰以雜湊形式保存，明文僅在建立時顯示；撤銷後立即停止授權。
Webhook 驗證
LINE 使用 HMAC 簽章；Telegram 使用 secret token；供應商回呼在驗證後才進入處理流程。
發送防護
提供逾時、有限重試、冪等鍵、SMS 每日上限、封鎖名單與連號偵測，降低重複發送與濫用風險。
企業導入時仍需共同完成的事項
- 正式環境使用 TLS，並限制資料庫與管理入口的網路存取範圍。
- 將 AUTH_SECRET、ENCRYPTION_KEY 與供應商憑證存入秘密管理系統並建立輪替流程。
- 依企業 RPO／RTO 設定資料庫備份、還原演練與異地備援。
- 依資料分類政策設定記錄保存期限、帳號生命週期與離職停權流程。
- 定期檢視失敗發送、異常用量、API 金鑰與管理員權限。
目前頁面不宣稱尚未取得的 SOC 2、ISO 27001 或其他第三方認證。若採購流程需要特定控制項、滲透測試或合規文件，可在導入評估階段提出。