安全

最后更新：2026年8月27日

Comment Coach 认真对待你的数据安全。本页描述了我们用于保护你信息的措施。

1. 加密

静态数据字段级加密

你写的每条评论、学习笔记、辅导建议和草稿都在存入数据库之前使用 AES-256-GCM 逐个加密——不仅是磁盘，而是保存数据的列。为了提供 AI 辅导和分享等功能，我们的系统在你使用时解密你的内容。

唯一的例外及其原因

搜索是例外，我们宁愿指出它而不是含糊带过。为了让你能找回自己的文字——"我在哪里写过关于忍耐的内容？"——你的评论也以明文保存在搜索索引中，位于同一个数据库中。出版者的文本从不被索引，你导入的内容也不被索引；这是一个有意的改变，在内容与版权页面有描述。但数据库的副本会泄露你的评论文本，备份也是如此。任何人告诉你一个可搜索的数据库同时也是一个不透明的数据库，他们描述的不是搜索的工作方式。

2026年8月27日更正。在此日期之前，本页声称加密覆盖了"每一行的每一列"，数据库的副本"不会泄露你的内容"，隐私政策也声称备份保持你的内容加密。上述搜索索引就是为什么这些说法不正确的原因，而且它一直都在那里——这些声明是针对带有加密标志的表编写的，而索引没有加密标志。下面描述的加密是真实的且未改变；改变的是本页现在声明了这个例外。我们内容页面的更正记录在内容与版权页面。

这适用于所有用户。无需启用或配置任何内容。

评论和理由AES-256-GCM，逐字段

学习笔记和源文本AES-256-GCM，逐字段

辅导建议AES-256-GCM，逐字段

草稿和定时会话内容AES-256-GCM，逐字段

研究对话AES-256-GCM，逐字段

参考资料和圣经章节AES-256-GCM，逐字段

密钥存储位置

加密密钥保存在我们托管提供商的密钥存储中，注入到运行的应用程序中，从不写入数据库、代码仓库或任何备份。因此备份中的加密列为密文，搜索索引则如上所述。我们在其他地方保有密钥的离线副本，这样即使失去主机也不会丢失你的数据。

传输中

所有连接使用 HTTPS/TLS。HTTP 请求自动重定向至 HTTPS。HSTS 以一年的 max-age 强制执行。

密码

使用 BetterAuth 存储为加盐 bcrypt 哈希。我们从不存储或记录明文密码。

2. 身份验证与会话

需要电子邮件验证才能访问账户
安全的、HTTP-only 会话 Cookie，带有 SameSite=Lax 和 Secure 标志
会话在30天后过期，每日滚动刷新
通过限时、一次性电子邮件链接重置密码
通过登录尝试速率限制提供账户锁定保护

3. 安全标头

Comment Coach 的每个响应都包含以下安全头：

Content-Security-Policy基于 nonce 的 script-src，限制性 connect-src

X-Content-Type-Optionsnosniff

X-Frame-OptionsDENY

Referrer-Policystrict-origin-when-cross-origin

Strict-Transport-Securitymax-age=31536000; includeSubDomains

Permissions-Policymicrophone=(self), camera=(), geolocation=(self), payment=()

4. API 与速率限制

身份验证端点的速率限制（登录、注册、密码重置）
AI 辅导调用的速率限制（每日和每月上限）
分享反馈的速率限制以防止滥用
所有 API 输入的服务端验证

5. BYOK（自带密钥）

当你为 AI 服务提供自己的 API 密钥时：

你的密钥仅存储在浏览器的 localStorage 中 — 从不在我们的服务器上
密钥仅在中转你的 AI 请求时传输到我们的服务器，之后立即丢弃
密钥从不写入我们的数据库或日志
你可以随时从设置中移除你的密钥

6. AI 与转录数据处理

评论文本发送至 Anthropic (Claude) 进行辅导 — 不包含个人身份信息
Anthropic 不使用 API 输入进行模型训练（Anthropic 隐私政策）
AI 回复以辅导历史的形式存储在你的账户中 — 你可以通过删除评论或账户来删除这些记录
你的语音档案仅在你要求时构建，仅基于你自己撰写的评论（从不使用生成或翻译的评论），且仅来自你自己的账户——它从不从其他人那里获取或与其他人共享。构建档案时会将你最多40条过去的评论在一次请求中发送给 Anthropic；结果是对你写作方式的简短描述，你可以在设置页面阅读、编辑或删除。Anthropic 不存储任何内容，该描述会随你的账户一起删除
发送至 Deepgram 进行实时转录的音频在传输中加密。mip_opt_out 始终启用，因此音频在处理后不会被保留，也不会用于模型改进（Deepgram 隐私政策）
来自实时捕捉的音频录制临时存储在你的浏览器（IndexedDB）中，有24小时过期限制——除非你明确要求转录，否则它们从不上传到我们的服务器
上传用于文字提取的图片和 PDF 在服务器内存中处理后立即丢弃。它们从不写入磁盘或存储。
你从大纲中删除的行会保留30天以便撤消操作可以恢复，之后永久移除。删除你的账户会立即移除。

7. 基础设施

托管在 Fly.io 上，使用私有网络和加密卷
通过 GitHub Actions CI/CD 管道自动部署
SQLite 数据库，使用 WAL 模式确保可靠性
每日自动备份——加密列在每份副本中保持加密；你自己评论的搜索索引按原样保留（见第1节）

8. 泄露通知

如果发生影响你个人信息的数据泄露，我们将：

在发现后 72 小时内通过邮件通知受影响的用户
按适用法律（GDPR、CCPA）的要求向相关机构报告
提供关于受影响数据和建议措施的清晰信息

9. 负责任的披露

如果你发现 Comment Coach 中的安全漏洞，请负责任地报告：

邮箱：contact@comment.coach
主题行：“Security Vulnerability Report”
包含重现漏洞的步骤

请不要在我们有机会解决之前公开披露漏洞。我们会在 48 小时内确认收到报告，并及时修复已确认的漏洞。