Security status

安全说明

更新：2026-10-21 · 适用产品：拓序跨境运营平台 / Tuoxu Crossborder

这里公开当前已核验的措施和限制，不是安全认证、渗透测试报告或 TikTok Shop 审核通过证明。官网与本地产品是不同的运行环境。

当前公开网站

仅提供公司与产品介绍、服务范围和政策页面，没有注册、登录、文件上传、付款或店铺授权入口。
采用静态页面，不加载外部统计、广告、字体或媒体资源；页面代码不使用 Cookie 或浏览器本地存储。
Nginx 配置限制可加载内容、禁止页面被框架嵌入、限制浏览器猜测文件类型，并隐藏服务器版本展示。常规网站访问日志已关闭，仍可能保留系统与网络安全运行记录。
网站使用独立静态目录，未将本地 ERP、业务数据库或本地开发接口部署到该目录。
首次部署前已保存原网站和配置备份，并保留恢复说明；这不代表已完成生产环境的异地灾备演练。

目前仍存在的限制

正式官网已使用 tuoxucrossborder.com 域名并启用 HTTPS，HTTP 访问会跳转至 HTTPS。HTTPS 保护网页传输，不代表产品业务数据已具备完整安全措施。请不要通过当前网站或咨询渠道发送密码、令牌、身份证明或真实买家资料。网站没有声称获得 ISO、SOC 等信息安全认证；完整生产安全审计、渗透测试和持续监控体系尚未在本项目中完成核验。

本地产品与店铺接入

本地研发已对部分账号范围、商品草稿版本及恢复流程进行测试，但仍需正式客户环境下的完整验证。当前 TikTok Shop 应用凭证已创建，接口权限与真实店铺授权尚未生效；官网不展示应用秘密，也没有收集授权码的网页功能。

在开放真实店铺前，还需实现并验证授权请求状态校验、服务端令牌交换、安全存储、权限限制、撤销授权处理及数据清理。不能以“密钥已生成”推断这些措施已经完成。

正式业务数据接入前的待办

正式域名与 HTTPS 已启用；继续维护证书自动续期和到期检查。
明确账号访问权限、管理员管理、敏感配置保管、传输及存储保护，并核验实际配置。
明确日志、告警、漏洞修复、备份恢复与事件通报的责任和执行流程。
核实托管地区、外部处理服务、数据保存和删除安排，再按实际情况回答平台安全问卷。

上述为上线前待办，不表示已经全部实施。未来是否开放服务以实际验证与平台审核结果为准。

如何反馈安全问题

请联系 guanyubo858@gmail.com，标题建议为“拓序安全问题”，描述页面、时间及不含秘密的复现步骤。不要发送完整访问令牌、密码或无关个人信息，也不要为验证问题获取他人数据。当前由团队人工受理，尚未承诺固定响应时限。

Security statement — English

This is a factual status statement, not a certification, penetration-test report or platform approval. The public website is a static introduction site with no registration, sign-in, upload, payment or shop authorization endpoints. It uses no page tracking, external assets, cookies or browser storage.

Nginx is configured with a restrictive Content Security Policy, frame protection and MIME-sniffing protection. Routine access logs are disabled; operational or infrastructure security records may still exist. The static website is separate from the local ERP database. Prior website files and configuration were backed up before deployment.

The official website uses tuoxucrossborder.com with HTTPS and redirects HTTP requests to HTTPS. This protects website transport and does not establish complete product-data security. Do not send credentials, identity documents or buyer information through the current site or enquiry channels. No security certification or completed production security audit is claimed.

Selected local account-scope, draft version and recovery tests do not establish production security acceptance. TikTok Shop permissions and live store authorization are not active. State validation, server-side token exchange, protected token storage, revocation and deletion handling must be implemented and verified before live access.

Production controls for access, encryption, retention, logging, monitoring, incident handling and recovery still require implementation or verification. Report suspected issues to guanyubo858@gmail.com without exposing secrets or accessing others’ data. Reports are handled manually; no fixed response SLA is currently claimed.