信任
隔离模型、加密、凭据处理，以及我们还没做出来的部分。
01
每个项目都跑在自己的数据库单元里：独占的 PostgreSQL 进程、独占的存储、独占的凭据，以及由操作系统强制的 CPU 与内存上限。两个客户之间没有共享数据库、没有共享 schema，也没有行级分区。
隔离的论证就这些，而且刻意乏味。吵闹的邻居耗不尽你的内存，因为上限不共享。别的租户查询里的 bug 碰不到你的数据，因为那个进程根本看不见。
K/V 存储享有同样的待遇：独立的进程、独立的内存上限、独立的存储和独立的凭据。它既没有通往你数据库的网络路由，也没有通往公网的路由——只有经过认证的端点才能访问它。
02
标准单元运行在只有回环接口的私有网络命名空间里，别无其他。它们无法向互联网、向另一个单元、或向控制平面发起外连——不是因为策略禁止，而是因为根本没有路由。
客户端流量通过路由层交付的套接字抵达单元。会发起外部网络调用的扩展在标准单元上不可用，正是因为这个原因；与其悄悄放宽边界，我们宁愿说不。
03
04
路由层端到端转发 PostgreSQL 的 SCRAM 认证。它从不看到、保存或还原你的数据库密码——只转发挑战与应答，然后让开。
组织 API 密钥只以哈希形式存储，签发之后无法读回；丢了就轮换。控制平面为生命周期操作保存的按项目数据库凭据静态加密，密钥不与其放在一起。登录委托给专门的身份提供方，因此我们的系统里不以任何形式存在你的密码。
05
06
生产访问仅限运营平台的人员，按需要而非按职级授予，并要求多因素认证。访问节点只走经过认证的通道；没有共享登录，也没有常开的控制台。
运维人员读取单元内容，只发生在你请求的支持场景，或无法以其他方式解决的事故中。两者都有记录，你若要看，我们给你看的就是这份记录。
07
08
节点健康、单元健康、备份新鲜度、恢复校验和资源压力都在持续采集并会呼叫真人。分区域可用性在状态页实时公布。
出了影响到你的问题，我们会用邮件和状态页主动告知，而不是等你来问。若个人数据泄露达到通报门槛，则适用数据处理协议中的时限。
09
CapyDB 没有 SOC 2 报告，也没有 ISO 27001 证书，不提供 HIPAA 业务伙伴协议。我们宁愿在安全页面直说，也不想让你在问卷里发现。
我们提供的是：第一天就生效的自助数据处理协议、公开的次级处理方立场、单元与备份的欧盟数据驻留，以及对任何安全问卷的坦率回答。如果认证是你采购的硬性要求，请告诉我们——这对我们是有用的信息。
10
发送到我们 security.txt 里的地址，或者直接写信给我们。请附上足以复现的信息。我们会尽快确认收到，告诉你我们查到了什么，并在你愿意时署名致谢。我们没有付费赏金计划。
针对你自己的项目做测试没问题，也欢迎。针对其他租户测试，或对平台发起大流量攻击则不行——这也是唯一会不经预警就停用账户的行为。