Locki 如何保护您的数据

文本和文件在浏览器中使用 AES-256-GCM 加密和解密，借助所有现代浏览器内置的 Web Crypto API。每个值都会使用一个全新的 12 字节随机 IV，因此相同的文本永远不会两次产生相同的密文。

加密文本会以 [LOCKI:v2: 开头的字符串形式留在您放置它的地方 — Slack 消息、电子邮件或工单中。没有密钥，存储它的应用和其他任何人都无法读取。

从扩展程序导出的密钥备份，使用由您的密码通过 PBKDF2（SHA-256，600,000 次迭代）派生的密钥加密。

个人密钥在您的浏览器中生成并保存在那里，永远不会发送给 Locki。

团队密钥在管理员仪表板中创建。它们在我们的服务器上使用独立密钥加密存储，因此仅凭数据库副本无法获得任何信息。密钥只会通过 TLS 发送给有访问权限的群组中已登录的成员。轮换密钥时会保留旧版本，因此较早的内容仍然可读。

每一次加密、解密和管理操作都会记录执行人、操作、密钥、时间以及发生的网站。内容本身永远不会被记录 — 无论是原文还是密文。

Locki 背后的加密库 @lockisecurity/crypto-core 以 MIT 许可证公开。其测试基于 SP 800-38D 中的 NIST AES-GCM 测试向量运行，任何人都可以阅读、运行或复用这些代码。

所有连接均使用 TLS 加密。对我们 API 的每个请求都经过身份验证并限定在您的组织范围内，管理操作需要管理员角色，请求还受到频率限制。用户使用工作邮箱或 Google 账号登录。

我们只收集服务运行所需的信息。隐私政策说明了我们处理哪些数据、原因和期限，以及您如何依据 GDPR 行使权利。

如果您认为在 Locki 中发现了安全问题，请发送电子邮件至 security@lockisecurity.com，附上问题描述和复现步骤。我们会阅读每一份报告，在调查期间及时向您通报进展，并可应您的要求公开致谢。

请仅使用您自己的账户进行测试，不要访问或更改他人的数据，并在公开披露细节之前给我们留出合理的修复时间。同样的联系方式也发布在我们的 security.txt 文件中。