秘枢隐私政策

用途与数据

秘枢用于集中管理用户主动添加的书签与私密资料。处理内容包括名称、网址、分组、登录账号及密码、密码历史、邮箱地址、身份信息、银行及付款信息、序列号、自定义字段、记事、2FA 密钥、附件、上传或主动框选的截图。只有使用相应功能时才处理相关资料；不读取邮箱收件箱、不调用浏览器历史 API、不收集广告画像。

“最常用书签”统计只记录通过秘枢打开的书签次数与时间。网页覆盖入口需要辨识当前或获授权标签页的网址；这些信息仅用于显示入口、打开书签、截图和标签分组，不作为独立浏览历史上传。新标签页默认替换 Chrome 新标签页，设置中可关闭；不会修改地址栏默认搜索引擎。

本机存储与锁定

私人记录、私人分组及其字段在本地 IndexedDB 中以 AES-256-GCM 密文保存。24 词恢复码对应随机恢复分片，主密码通过 Argon2id 派生另一分片，两者组合形成数据密钥；原始数据密钥只用于解锁会话，不作为裸密钥持久保存。完成登录的本设备，日常解锁使用主密码，或已启用且仍有效的快捷码；新设备登录与加密备份恢复仍需恢复码和主密码。

用户明确取消五分钟空闲及关闭最后一个页面的自动锁定后，空闲、切换或关闭秘枢页面不会销毁本次浏览器会话中的解密密钥。手动锁定、系统报告锁屏和快捷解锁的主密码验证到期仍会锁定；浏览器退出或扩展重载后，内存密钥消失，私密单元仍需解锁，普通书签索引保持可用。JavaScript 不保证物理内存即时擦除。

锁定会关闭私密资料的查看、编辑和复制并清除解密密钥。为在锁定及重启后继续打开普通书签，本机IndexedDB另存当前账户的非加密普通书签索引，包含名称、网址、所属分组、排序、打开统计及必要的Chrome对应编号，以及私密单元是否存在和类型（只用于保留入口图标与锁定标识，不含字段内容）；普通书签分组的名称、颜色、路径及标签分组开关也在该索引中。索引不包含项目名称、密码、用户名、记事正文、预览、截图、2FA密钥或附件内容，不上传云端、不随密文包导出。

不同账户索引独立，切换后只显示当前账户；卸载或清除扩展数据会移除全部索引。完整私密资料仍在认证密文中，查看私密单元需要解锁。旧版本首次升级后需解锁一次建立索引，此后重启即可使用。加密数据导入导出与账户安全操作在设置中。

Chrome 原生书签及其文件夹仍由浏览器管理；启用 Chrome 书签连接后，名称、网址、分组和顺序可在两边更新，Google 的浏览器同步由用户的 Chrome 设置控制。Chrome 原生书签的可见性仍由浏览器控制。秘枢会把书签分组的名称、颜色和路径等展示信息另存到账户认证密文中，随账户加密备份恢复；重新安装后无需读取本机 Chrome 就能显示已备份名称。连接及操作本机 Chrome 书签仍需用户授予书签权限，不能仅凭云端编号自动写入或删除。分组顺序和隐藏状态仍保存在本机。插件不将密码、笔记等私密字段写入 Chrome 原生书签。运营者导入的专用开发者密钥用于管理看板的身份验证，以及邀请、备份和已获授权的维护操作，仅放在管理页面内存，退出看板或关闭页面后清除，不预置在插件包中。运营者自行保管的密钥文件不由插件自动上传或公开。

本机快捷解锁（可选）

用户主动启用后，可用主密码前四个字符或自定义4—8个字符快捷解锁。主密码验证有效期可设1分钟至5天，默认8小时，从上次主密码验证开始固定计时；快捷解锁不延长有效期。到期、连续5次错误或明显时间回退时，要求使用主密码验证。普通重启保留有效期与错误次数。

此功能在本机额外保存由快捷码经Argon2id派生密钥加密的数据密钥与独立同步凭证，以及由数据密钥加密的续期派生材料；不保存原始主密码、恢复码或快捷码明文。快捷材料不上传云端，不随加密数据导出或迁移到其他设备；禁用、清空设备数据或修改主密码会删除/撤销材料。启用会降低本机保护强度，短码可能被离线猜测；时间和次数限制是应用检查，不能防止修改客户端或磁盘回滚绕过。减少完整密码输入不等同于整体安全必然提高。

云端备份与恢复

完全本地模式不自动注册云账户或上传资料。邀请账户及已有账户激活云端时，会先展示数据处理说明，取得主动同意并请求访问秘枢云服务的可选权限。服务部署在阿里云杭州 ECS，服务入口为 https://mishu.ink/api。

云端通过 HTTPS 接收资料库标识、独立同步凭证和认证密文包。包中包含加密记录、加密分组、nonce、加密认证清单及必要的版本和密钥派生参数；服务器保存同步凭证的哈希，不接收恢复码原文、恢复分片、主密码或裸数据密钥。早期导入分组标识可能含目录名称，0.5.3.1 解锁后会改为随机标识，上传新版包后替换在线版本；设备外旧备份不会自动改写。

独立同步凭证从恢复分片通过单独的 HKDF 上下文派生，只授权密文存储操作，不是资料解密密钥。持有恢复码的人可以获取或管理对应密文；严格模式下仍需主密码才能解密。

云端附件单个不超过 5MB，每账户附件合计不超过 100MB，回收站中的附件也计入。超限时保留本机资料并暂停整个密文快照上传；本地保存不设上述附件大小与总量限制。附件编码与加密会增加体积，云端密文包传输上限为 200MB，包含编码开销及其他资料。服务器仅检查密文包容量，不读取附件内容。注册成功后立即上传包含加密验证材料的空包；新建、修改或移动书签／项目并保存后先提交本机，再自动上传，也可点击账户旁的云朵手动同步。失败保留本机资料并显示原因，通常每分钟重试。锁定后仍可同步已保存的加密资料包，不会因此解密或开放私密内容。本次浏览器会话已获得的云端传输授权仅留在扩展后台内存，退出账户或浏览器退出、扩展重载后失效；新会话需登录或解锁一次。锁定时若发现需要合并的云端新版本，会保留两边加密资料并提示解锁后合并，避免直接覆盖。上传前读取云端版本，登录时也在本机验证和比较同一账户的本机、云端及已知同步基线；独立新增资料合并保留，同时编辑或删除的冲突内容保留为临时项目副本。

每次成功上传只替换该账户在线的最新密文包，保留版本校验以拒绝并发覆盖；不会实时轮询其他设备的变更。

账户切换会将原账户完整加密包保留在本机，各账户的密钥、快捷材料及资料独立。切换暂停Chrome书签同步，并清理原账户当前提醒排程；未删除Chrome原生书签。合并前的本机密文包以及无法用当前密码解密的旧配置包也在本机保留，可从账户管理查看大小、导出并使用原凭证恢复；也可逐项确认删除保留版本。

容量提醒只告知占用，不自动清理。这些保留版本不会作为云端历史版本上传。卸载或清除扩展数据会移除全部本机账户及保留版本。已注册但云端没有任何加密验证材料、且本机也无此账户资料时，无法核验原主密码；需用户明确确认使用本次主密码建立空加密资料库，不覆盖其他账户。

主密码找回

找回默认关闭。主动启用后，额外保存由恢复分片派生密钥加密的主密码材料；该材料随密文包备份。应用在本机检查印象密码的字符编辑距离，相似度严格超过 50% 才显示原密码；连续五次失败暂停一分钟。

相似度限制是应用规则，不是密码学隔离。持有恢复码与找回材料的人能绕过检查，因此启用后不再保证恢复码单独不能解密资料。此变化在启用前说明并要求确认；未提前启用时不能补救已经遗忘的主密码。

预览与密码助手

图标优先使用 Chrome 缓存。在线预览按网站申请可选授权，通过 HTTPS 请求公开标题、简介、图标和封面，不携带登录 Cookie；目标网站及其图片/CDN 提供方可能收到网址、IP 和正常请求信息。HTTP 网站可使用缓存图标、上传截图或手动框选。框选由用户启动并在浏览器共享选择器中选择当前标签页，图像先在本机处理，保存后进入私人密文；邀请账户启用备份时，其加密截图也会上传。

密码助手默认关闭。当前界面统一提供“允许所有 HTTPS 网站”，需用户主动授权；旧版本已选择的网站授权继续兼容，可在设置中停用。只处理主页面，默认精确匹配来源，不向兄弟子域名自动共享密码；跨站关联填充会再次提示来源和接收网站。点击登录项才填入凭据，不自动提交表单。网站本身可以读取已填入的账号密码。

登录表单提交时，助手在工作线程内存中短暂暂存账号密码以提供保存提示，最长五分钟，锁定或线程结束时丢弃；只有确认保存后才写入加密资料库。复制功能将选定内容写入系统剪贴板，不读取剪贴板历史，也不能收回已被其他应用读取或已填入网页的内容。

在线资源与搜索

本地图标与本地 Markdown、2FA、拼音和加密代码随插件打包，不加载远程业务代码。选择在线图标库时会向 Iconify（api.iconify.design）发送用户输入的图标搜索词和必要请求信息；在线纹理由 Transparent Textures（www.transparenttextures.com）提供。下载的 SVG 仅作为经过限制和清理的图片数据使用，不执行其中脚本。

新标签页只有在用户提交搜索或问题时，才打开所选的 Google、Bing、百度、DuckDuckGo、搜狗或 AI 网站；可直接传参的网站会收到用户提交的查询文本。不支持传参的网站只在本机复制问题，打开网站后由用户自行粘贴。秘枢不调用 OpenAI 或其他模型 API，不在后台发送查询建议。这些网站按各自政策处理用户主动提交的信息。

分享与使用限制

不出售用户资料，不用于广告、信用评估或与单一用途无关的画像。仅按上述用户选择，将必要数据发送至目标网站、用户选择的搜索服务、在线资源提供方，以及提供密文存储基础设施的阿里云。不会安排人工读取私人明文；法律要求、安全调查等情形限于必要范围，或事先取得用户对具体资料和用途的明确同意。

秘枢对通过 Google API 获取的信息的使用遵守 Chrome Web Store User Data Policy 的 Limited Use 要求。The use of information received from Google APIs will adhere to the Chrome Web Store User Data Policy, including the Limited Use requirements.

保留与删除

本地资料保留至用户删除或清除扩展数据；删除项目先进入回收站，删除原生书签可转为临时项目，这些操作不等于彻底清除。卸载扩展或通过浏览器清除扩展数据会删除本机资料和提醒记录，请先导出加密备份；这些操作不会删除 Chrome 自身书签、云端账户、自行导出文件或剪贴板。

云端密文保留至用户在“账户与加密 → 删除云端账户”验证完整凭证并确认删除。在线密文立即移除，旧设备继续上传会被拒绝；本机资料仍保留。用于防止旧设备重建的资料库标识、凭证哈希和删除时间最长保留三十天，期间同一账户不能重建。服务器同机数据库备份默认保留七天，管理员可配置为一至三十天；每次成功备份后清理到期文件，失败不会先删除旧副本。备份最多一百份，达到上限需管理员处理；此备份不是异地灾备。管理员可在测试或维护时清空在线密文，并选择删除历史备份；清理后暂停上传，恢复上传前须处理旧设备，避免资料重新上传。人工恢复备份时必须保留并应用尚未到期的删除标记，防止恢复已删除账户。

邀请记录用于管理名额、到期和撤销，不包含个人明文；未完成账户注册的过期预留材料在到期一天后清理；邀请码名额在账户注册成功时确认一次，已注册的空账户不会因没有数据而过期。历史已注册空账户保留登录资格；账户维护清理会在正常接口处理时执行。服务器静态网页访问日志及故障日志可能记录 IP、路径、时间、状态和浏览器信息，用于运行与安全排查；API 不记录访问请求正文，网站访问日志由轮换机制保留不超过十四天。

主动发至支持邮箱的信息用于处理请求；该邮箱由 Gmail 托管，Google 会按其邮件服务政策处理邮件。不要发送主密码、恢复码或密码文件。

完全本地注册可自愿选择匿名创建统计，默认关闭。勾选并授权联网后，仅发送随机事件编号至秘枢杭州服务；服务器保存其哈希与接收时间，用于去重和统计创建次数，不附带主密码、恢复码、资料库标识或用户资料。未选择时不发送该事件；选择后也不启用云端备份。该统计不代表全部本地用户人数，服务器不能核实每个匿名事件是否对应真实用户。

新建资料库会生成独立的稳定账户 ID。完全本地时随本机认证加密备份保存；升级云端后将该 ID 与匿名资料库标识绑定，用于账户管理及未来会员关联。该 ID 不是登录凭证或解密密钥，不能据此查看用户资料。修改主密码不会更换 ID。

订阅日期提醒

普通日期及订阅日期作为资料字段保存在加密资料库中。只有订阅日期参与管理和到期提醒。浏览器通知需主动授权，可按单项关闭；启用后在到期前3天及到期当天按本机时区上午9点提醒，浏览器关闭或设备休眠时无法即时通知，恢复运行后补提醒。为在资料库锁定时仍能提醒，本机另存不加密的匿名提醒编号、提醒时间及已提醒状态，不保存订阅名称或完整字段，不云同步、不随密文包导出。

移除订阅、移入回收站、关闭通知授权或删除本地资料时清理对应提醒；新设备及导入后须解锁并授权，才能从加密资料重建提醒。通知只显示通用到期提示，不显示订阅名称或其他私密内容。操作系统的通知设置也可能阻止提示。

导出与安全边界

完整迁移使用认证密文包。HTML 书签与 CSV 密码导出不是完整加密备份：CSV 含明文密码，应仅导入可信密码工具，不应直接在电子表格中打开。卸载或清除数据前请保留设备外密文备份。修改主密码不会撤销外部旧文件，仍在保留期内的旧备份也可能使用旧密码配置。

加密不保护已被控制的浏览器或解锁设备，不能保证无漏洞。此版本没有独立安全审计；云端版本检测也不防御整台服务器及其版本记录一起回滚。正式客户端和新增处理用途上线时，将更新本政策并按需重新告知、取得同意。

联系与安全事件

用户支持、隐私访问或删除请求、安全漏洞报告均可发送至 willsonn.ma@gmail.com。收到报告后将核实影响、限制受影响服务、修复并发布更新；重大事件会在官网发布公告，并在适用法律要求的范围内通知受影响用户和主管部门。不要求通过邮件提供主密码或恢复码，当前不保证固定的响应时限。