安全说明

官方接口与责任边界

QUALYRA 仅通过 Meta 官方 WhatsApp Cloud API 接收和发送消息，不使用扫码登录、个人号自动化或非官方协议。Meta 负责其 Cloud API 和 WhatsApp 网络的安全；企业负责 Meta 资产、号码质量、模板与成员授权；QUALYRA 负责应用内的数据流、访问控制和凭据保护。

凭据与知识加密

WhatsApp access token、Meta app secret、AI Provider 密钥以及需要保护的知识条目使用 AES-256-GCM 加密后存储。每次加密使用独立随机 nonce，并通过认证标签检测密文篡改；解密密钥与数据库内容分离管理，不写入代码仓库、页面或应用日志。

Webhook 身份验证

Meta Webhook 验证请求需要匹配配置的 verify token。消息事件使用 app secret 对原始请求体执行 HMAC-SHA256 验签，并采用常量时间比较；签名缺失或不匹配时拒绝处理。事件还会按消息标识去重，降低重复投递造成的副作用。

隔离工作区与最小权限

每个企业位于独立的隔离工作区，业务查询必须带工作区边界。管理员、客服与销售按角色获得完成工作所需的最小权限；服务端接口再次校验身份与角色，不能仅依赖页面隐藏。管理员应定期复核成员、Meta token 权限与号码状态。

数据使用边界

客户消息、客户手机号码、对话记录、评分结果及企业知识不会用于训练 QUALYRA 的共享模型，也不会用于训练面向其他工作区的模型。只有在企业明确配置的处理目的内，必要上下文才会发送至其选择的 AI Provider；企业应审阅该 Provider 的保留与训练设置。

传输、日志与备份

生产传输应使用 HTTPS/TLS。日志避免记录完整 token、app secret、消息正文与手机号码；必要标识应掩码或摘要化。数据库备份沿用同等访问限制与轮换策略，并定期验证恢复流程。自部署环境的主机加固、补丁、网络边界和备份保管由部署方负责。

安全运营与事件响应

系统提供凭据健康、Webhook 配置、号码状态和合规检查入口。发现异常时，应立即停止受影响的自动处理、撤销并轮换凭据、保存必要审计记录、评估数据范围，并按合同与适用法律通知相关企业。请勿在公开渠道提交 token、个人数据或可利用的漏洞细节。

企业部署检查清单

• 仅授予 Cloud API 所需权限，并为生产与测试使用不同凭据。
• 配置高强度加密密钥，限制读取权限并制定轮换与恢复流程。
• 启用 HTTPS、数据库访问限制、最小权限账户和集中安全日志。
• 定期复核工作区成员、消息模板、24 小时服务窗口及退订处理。