安全

我们如何保护你的数据

• 所有流量均通过 HTTPS 加密，我们托管在 Cloudflare 上的数据库和文件存储也会对静态数据进行加密。
• 银行卡信息绝不会经过我们：付款由我们的记录商户（merchant of record）Dodo Payments 收取。
• 付款通知均经过签名验证，且我们从 Dodo Payments 读取每笔付款的状态，而不是信任浏览器。
• 登录验证码仅以哈希形式存储，过期的会话和验证码每天都会被删除。
• 我们的数据库可以恢复到过去 30 天内的任意时间点。

我们如何保护你的账户

• 你可以使用邮件验证码或 Google 登录，因此不存在可能泄露的密码。
• 每个验证码仅可使用一次，有效期 10 分钟，最多尝试 5 次。申请验证码需要通过机器人验证，且请求频率受到限制。
• 你的会话 Cookie 设置了 HttpOnly 和 Secure，因此页面脚本无法读取它，且它只通过 HTTPS 传输。退出登录即结束会话。
• 在 Business 套餐中，所有者决定谁占用席位，并可随时移除席位。
• MCP 客户端在你同意后通过 OAuth 2.1 连接。其令牌仅适用于 MotionVideo MCP 服务器，且该服务器的工具均为只读。

我们如何保护网站

• 上传的图片根据内容而非文件名进行检查：仅接受大小限制内的 PNG、JPEG 和 WebP，绝不接受 SVG。
• 每项赞助、职位发布和投稿在公开之前都会经过审核。
• 表单和上传按 IP 地址进行频率限制。
• 只有少数管理员账户可以打开审核工具。
• 网站源代码在 GitHub 上公开，任何人都可以查看其工作原理。

报告漏洞

如果你发现安全问题，请通过 GitHub Security Advisories 私下报告，或写信至 hello@motionvideo.xyz。请在公开之前给我们留出修复时间，并且测试时不要访问他人的数据。