安全性

最後更新：2026年10月22日

本譯文僅為方便閱讀而提供；如與英文版本有任何不一致，以英文版本為準。

安全性是 Waslo 的根本。我們處理敏感的商業通訊及潛在客戶資料，並認真看待這項責任。以下是我們保護您資料的方式。

加密

傳輸中

您的瀏覽器與 Waslo 之間的所有通訊均使用 TLS（HTTPS）加密。API 請求、驗證權杖以及所有資料傳輸在傳輸過程中均經過加密。

靜態儲存

敏感資料，包括管道驗證狀態（WhatsApp 工作階段、Outlook / Google Calendar / Meta 的 OAuth 更新權杖、Telegram 機器人權杖）以及第三方整合憑證，於儲存前均採用業界標準的驗證加密技術進行靜態加密。

驗證與存取控制

  • 以權杖為基礎的驗證：所有 API 請求均使用具有可設定有效期限的安全權杖進行驗證。
  • 密碼雜湊：密碼於儲存前使用高強度、加鹽的雜湊演算法進行雜湊處理。
  • 兩步驟驗證（選用）：任何使用者都可以在「設定 → 帳戶」中開啟來自驗證器應用程式（Google Authenticator、Microsoft Authenticator、1Password 等）的驗證碼。開啟後，無論透過密碼、Google 或 Apple 登入，在網站與 iOS 應用程式中都會要求輸入。每個驗證碼只能使用一次，錯誤驗證碼依帳戶限制次數，另有十組一次性復原碼可在手機遺失時使用。
  • OAuth 支援：Google、Apple 及 GitHub 登入提供額外的安全驗證選項。
  • 登入保護：多次輸入錯誤密碼後，帳戶將被鎖定 15 分鐘；「忘記密碼」與驗證表單無論電子郵件是否已註冊，回應都完全一致。
  • 一次性連結以雜湊形式儲存：重設密碼、驗證電子郵件及團隊邀請連結僅以雜湊形式儲存，因此資料庫的副本中永遠不會包含可用的連結。
  • 速率限制：API 端點受速率限制保護，以防範暴力破解及濫用攻擊。
  • 安全標頭：我們強制使用以安全為導向的 HTTP 標頭，包括 Content Security Policy、X-Frame-Options 等。

多租戶資料隔離

Waslo 是一個多租戶平台。每一項資料查詢均依組織限定範圍，組織資訊取自經過驗證的工作階段。這確保任何組織都無法存取其他組織的資料，包括潛在客戶、對話、設定及整合。

安全監控

Waslo 會對被拒絕及可疑的請求保留安全稽核紀錄：試圖讀取或修改其他工作區資料的行為、簽章驗證失敗的 webhook、指向我們內部網路的連結、失敗的登入與兩步驟驗證碼、無效的 API 金鑰，以及成批被拒絕的請求。來自同一位址的批量請求會被歸併，而非逐筆記錄。高嚴重性事件發生時會立即通知我們的團隊，並且每天會審閱一份彙總。該紀錄不保存訊息內容、密碼或權杖，並會在 180 天後刪除。

基礎架構

我們的平台代管於企業級雲端基礎架構上，具備：

  • 自動 HTTPS 及 DDoS 防護
  • 全球 CDN，提供快速、可靠的存取
  • 服務之間的網路隔離
  • 加密的資料庫連線及定期備份
  • 用於內部服務通訊的私有網路

應用程式安全實務

  • 對所有 API 端點進行輸入驗證，以防範注入攻擊
  • CORS 限制，以防止未經授權的跨來源請求
  • 訊息處理中的冪等性檢查，以防止重複處理
  • 無預設憑證：所有管理存取均需明確設定
  • 加密的訊息佇列處理，確保資料流可靠且安全

網站聊天

  • 雜湊處理的訪客權杖：讓訪客重新連回其對話的權杖，在我們這端僅以 SHA-256 雜湊值儲存。
  • 僅限列出的網站：小工具僅在企業所列出的網站位址上回應；來自任何其他來源的請求一律拒絕。
  • 機器人檢查：訪客首次開啟聊天時，會執行 Cloudflare Turnstile 檢查。
  • 獨立網域：小工具由 waslo.org 提供，與 waslo.io 主控台分開，因此絕不會與其共用 Cookie 或工作階段。

網站爬蟲

  • 以 WasloSiteBot/1.0 表明身分，並遵守 robots.txt。
  • 僅讀取同一網站上的公開 HTTPS 頁面，並拒絕存取私有網路位址。
  • 每個工作區每天最多 3 次掃描；企業會在匯入任何內容前先審閱頁面。

我們不做的事

  • 我們不儲存未加密的管道憑證：每個 WhatsApp 工作階段、OAuth 權杖及機器人權杖均經過靜態加密
  • 我們不會基於廣告目的與第三方分享您的資料
  • 我們不會使用您的對話資料訓練 AI 模型

獨立審查

Waslo 接受其所整合平台的審查，並對我們自己的程式碼進行對抗性稽核。

  • Microsoft：已驗證發行者（2026年5月29日）。Outlook 存取以 Microsoft Graph 建置。
  • Google：已通過 OAuth 驗證（2026年6月8日）。僅限日曆權限範圍；我們從不申請不會使用的信箱權限範圍。
  • Meta：應用程式審查已核准，應用程式已發布（2026年6月30日）。涵蓋 WhatsApp Cloud API、Instagram 及 Messenger 的訊息權限。

2026年7月，我們對公開 API 介面進行了兩輪對抗性安全稽核。兩輪稽核均發現了問題，且所有問題均於發布前修正並納入迴歸測試，其中包括一個伺服器端請求偽造（SSRF）繞過漏洞、一個未簽署的 OAuth state 參數，以及一個點數扣除競態條件。我們公開這些資訊，是因為一次什麼都沒發現的稽核，通常是一次沒有認真檢查的稽核。

您的資料存放於何處

  • 應用程式與資料庫：代管於歐盟境內的受管雲端基礎架構上，具備加密連線、私有網路及自動備份。
  • 複委託處理者：我們使用少數幾家具名供應商提供代管、資料庫、佇列、交易型電子郵件、媒體儲存、錯誤監控、付款及網站聊天機器人檢查（Cloudflare Turnstile）服務。每家供應商均受其自身資料處理條款的約束。目前清單公布於我們的隱私權政策中，並於我們的資料處理協議中引用。
  • AI 處理：訊息內容會傳送給模型供應商以產生回覆，但不會被用於訓練其模型。

保存與刪除

  • 您可以隨時於主控台中刪除您的帳戶；刪除後，您組織的資料將於 30 天內依排程移除。
  • 在您的帳戶有效期間，對話及潛在客戶資料會被保存，因為產品需要這些資料才能結合脈絡回覆。
  • 匿名網站聊天訪客會依企業選擇的排程刪除（最後一則訊息後 30 至 365 天，預設為 180 天），網站掃描結果則於 30 天後刪除。
  • 暫時性資料，如代管的語音音訊、媒體連結及速率限制計數器，會自動到期，通常於數分鐘內。

我們不作的聲明

我們未取得 SOC 2 或 ISO 27001 認證，亦未持有 HIPAA 或 PCI 證明，目前也尚未提供單一登入（SSO 或 SAML）。我們是一個在經過稽核的基礎架構上進行開發的小型團隊，我們寧願據實以告，也不願暗示自己擁有未曾取得的認證。如果您的採購流程要求此類認證，請於購買前告知我們。

通報安全問題

如果您發現安全漏洞，請以負責任的方式寄送電子郵件至 hello@waslo.io 進行通報，郵件主旨請註明「Security Report」。我們會認真看待每一份通報，並盡速回覆。