ClawAI 中的安全与数据处理

账户、会话与基于角色的访问

密码使用 Argon2 哈希；访问令牌是短期有效的，刷新令牌在每次使用时轮换，因此被盗令牌可以被检测到。每个账户都带有一个角色和一组明确的权限，会在界面中和每个后端端点上再次检查——基于角色的访问控制应用在两个层面，而不仅仅是界面碰巧展示出来的地方。

凭据加密与传输加密

提供商和连接器凭据在静止时使用 AES-256-GCM 加密，且从不返回到浏览器。传输采用从浏览器到边缘的 TLS，以及每个内部服务之间再次使用的 TLS，并在每一跳验证证书——因此凭据在静止和传输过程中都受到保护。

服务隔离、速率限制，以及此处未作出的声明

每个后端服务都拥有自己的数据库，无法读取其他服务的数据库，因此图像生成中的故障无法波及你的对话；按账户设置的速率限制既保护你的额度，也保护平台免受失控循环的影响。ClawAI 目前不持有任何合规认证，托管应用按第三方模型提供商自己的条款向其发送请求——如果这无法满足某个组织的需求，在你自己网络内、仅运行开放权重模型的私有部署会按个案商定；请联系我们讨论。对于必须默认留在你所控制硬件上的请求，请参见下方链接的私有与本地部署。

常见问题

我的密码和登录令牌是如何受保护的？

密码使用 Argon2 哈希。访问令牌是短期有效的，刷新令牌在每次使用时轮换，因此被盗的刷新令牌可以被检测到，而不会被悄悄重复使用。

我已连接工具的凭据是如何存储的？

无论是哪个工作区连接器，提供商和连接器凭据在静止时都使用 AES-256-GCM 加密，且从不返回到浏览器。

ClawAI 是否持有第三方合规认证？

没有——ClawAI 目前不持有任何合规认证。对于托管应用无法满足的要求，在你自己网络内的私有部署会按个案商定；请参见下方链接的本地与私有部署用例。