此翻译仅为方便参考。英文版本为法律约束版本。
1. 密钥保管
这是重要的内容，请仔细阅读两遍。默认情况下，接收地址是从运营商持有的密钥材料派生的，而不是由您派生的：付款到达运营商的地址并记入您的余额，您从那里提取。签名不是自动的——网络应用程序没有自动广播转账的路径；提款和支付由运营商在外部审核、签名和广播。一个不希望运营商持有其资金的商家可以要求从其自己的 xPub 派生；然后付款仅结算到该商家控制的地址，运营商永远不会拥有这些地址的密钥。
2. API 和 webhook 完整性
2.1 签名
API 请求和网络钩子使用 HMAC-SHA256 签名，具有时间戳窗口以限制重放，并使用幂等性密钥，以便重试调用不会重复执行。签名在恒定时间内进行比较。
2.2 出站 webhook
出站Webhook受到SSRF保护：仅限https，发送到商家配置的URL，固定到经过验证的IP地址，拒绝私有、CGNAT和NAT64范围。
3. 静态凭证
密码使用bcrypt进行哈希。api_secret在静态时使用AES-256-GCM加密。私钥、种子短语和卡号绝对不会被存储。
4. 账户安全
可选的 TOTP 双因素身份验证和恢复代码。会话在服务器端跟踪并可以被撤销。CSRF 令牌保护状态更改请求。速率限制适用于每个 IP 和每个密钥。
5. 传输和浏览器加固
HSTS、内容安全策略、X-Frame-Options设置为DENY、X-Content-Type-Options nosniff和引荐者政策。
6. 资金完整性
结算记录在一个仅附加的账本中，具有唯一的幂等性锚，因此相同的存款不能被重复记入。咨询锁序列化余额变更，因此并发操作无法将余额竞争到错误状态。
7. 我们不主张的内容
Payora没有PCI-DSS、SOC 2或ISO 27001认证，也没有监管许可证。任何告诉您其他信息的人都是错误的。该软件为操作员提供了强大的默认设置；运行实例的安全性还取决于操作员的服务器、托管和实践。
8. 你的立场
保持您的 API 密钥和密码私密。启用双因素身份验证。验证 webhook 签名，而不是信任有效负载。仔细检查支付地址，包括任何目的地标签或备注，因为已发送的交易无法撤回。
9. 报告漏洞
向运营商报告安全问题至 support@payora.money. 请提供足够的细节以便重现，并请勿针对他人的账户或数据进行测试。
最后更新：2026年7月16日。如果我们对本页面进行重大更改，更新版本将发布在此处。
