安全

卖家将发货数据、客户地址以及承运商账户的访问权限托付给 ExperShip。本页说明我们如何保护这些数据，以及当您在我们的网站、应用或 API 中发现安全问题时如何告知我们。

我们的做法

我们以务实的方式对待安全：只收集为您发货所需的数据，在传输和存储过程中保护这些数据，限制可以访问数据的人员，并在发现问题时迅速修复。我们不会声称拥有我们并未取得的安全认证。如果您在进行安全评估时需要更多细节，请 联系我们。

数据保护

• 传输加密。 您的浏览器或代码与 ExperShip 之间的流量使用 TLS（HTTPS）加密。
• 静态加密。 我们的数据库、文件存储和备份均进行静态加密。
• 数据最小化。 我们收集提供服务所需的发货、海关和账户数据。我们的 隐私政策 列出了我们收集哪些数据以及原因。

基础设施

ExperShip 应用、API 和本网站运行在 Amazon Web Services（AWS）的 US East（N. Virginia）区域，因此客户数据存储在美国。我们所依托的基础设施，其物理安全、网络防护和数据中心管控均由 AWS 提供。

账户安全

• 密码。 我们仅以加盐哈希的形式存储密码，绝不以明文存储。ExperShip 的任何人都无法看到您的密码。
• 双重身份验证。 ExperShip 账户的双重身份验证（2FA）已列入我们的路线图。在推出之前，使用独一无二的强密码是您最好的保护。
• 您需要做的。 请使用独一无二的强密码，不要与团队其他成员共用登录信息；在应用支持的情况下，为每个人分配各自的访问权限。

API 安全

ExperShip API 使用 API 密钥进行身份验证。为保障您的账户安全：

• 请对 API 密钥保密。将其存放在您的服务器上，切勿放入浏览器代码、移动应用或公开代码仓库中。
• 如果您认为某个密钥已经泄露，请立即轮换；平时也请养成定期轮换密钥的习惯。
• 仅通过 HTTPS 调用 API。

ExperShip 为您提供相互独立的测试和正式 API 密钥，让您无需创建真实货件即可开发和测试。您可以在控制台自行轮换密钥；API 设有速率限制，以防服务被滥用；webhook 均经过签名，您的服务器可在处理前验证事件确实来自 ExperShip。

支付

银行卡信息由我们的支付服务商处理。我们不会在 ExperShip 系统中存储完整的卡号。

访问控制

只有因岗位需要的人员才能访问生产系统和客户数据，不再需要时其访问权限即被移除。

备份与事件响应

我们定期备份客户数据，以便在出现问题时进行恢复。如果安全事件影响到您的数据，我们会进行调查、加以控制，并依法通知受影响的客户。

如果您认为您的 ExperShip 账户已遭入侵，请立即更改密码、轮换 API 密钥，并发送邮件至 info@expership.com 告知我们。

分处理者

我们使用少量服务商来运营 ExperShip，例如云托管、邮件发送和支付处理。服务商的类别及其接收的信息，列在我们隐私政策的 您的信息如何被共享 部分。

漏洞披露政策

我们欢迎安全研究人员和客户提交报告。如果您发现漏洞，请私下告知我们，以便我们在其被利用之前完成修复。

范围

• expership.com 和 www.expership.com
• app.expership.com
• ExperShip API

不在范围内：我们使用的第三方服务（例如承运商、我们的托管服务商或支付服务商），它们有各自的披露计划；以及没有安全影响的报告，例如在没有可用利用方式的情况下仅缺少最佳实践响应头。

如何报告

请发送邮件至 info@expership.com 并将邮件主题设为 "Security report"。请包含以下内容：

• 问题描述以及您认为它造成的影响。
• 受影响的 URL、接口或功能。
• 清晰的复现步骤；如有截图或简短的概念验证，请一并附上。
• 我们后续跟进时如何联系您。

我们的承诺

如果您出于善意报告并遵守以下规则，我们将：

• 确认收到您的报告，并告知您我们正在处理。
• 在调查和修复问题期间持续向您通报进展。
• 不会因您遵守本政策开展的安全研究而对您采取法律行动。

参与规则

• 除证明问题所需的最低限度外，不要访问、修改或删除不属于您的数据。如果接触到个人数据，请立即停止并告知我们。
• 不要进行拒绝服务测试，也不要做任何会降低他人服务质量的事情。
• 不得对 ExperShip 员工或客户进行社会工程或网络钓鱼。
• 不得对办公室、数据中心或人员进行物理攻击。
• 只使用您自己拥有或已获授权使用的账户。
• 在公开披露之前，请给我们合理的修复时间，并与我们商定披露时间。

我们目前不提供有偿漏洞赏金计划。