安全与漏洞报告

报告应包含的信息

• 受影响的网址或 API 端点
• 最小可复现步骤
• 发生时间与时区
• Request ID（响应头 X-CCAPI-Request-Id）或任务 ID

不要提交 API Key、密码、支付凭据、完整提示词或其他用户的数据；截图、工单和日志中的 Key 只保留前后少量字符，例如 sk-abcd...wxyz。

机器可读的安全联系信息位于 /.well-known/security.txt，列出联系邮箱、本页地址和首选语言（中文、英文）。

API Key 的使用与保护

• 所有接口使用 CCAPI Key，通过请求头 Authorization: Bearer 传递；不要把 Key 放进 URL、请求体或客户端日志（见 API 参考）。
• 不要把真实 Key 发给任何人。
• 怀疑泄露时，立即在令牌管理禁用旧 Key 并创建新 Key，再到使用日志核对是否有不认识的调用。
• 桌面客户端 CCAPI Setup 用本地系统密钥存储保存 API Key，不上传密钥，也不把密钥写入日志。

账户数据与访问边界

• 用户只能查看和下载自己账户生成的图片和视频结果；公开资源地址不等于可以枚举其他用户的任务。
• AIGC 工坊的视频参考素材使用签名地址，到期需要重新获取，素材权限变更会撤销访问。
• 小C智能客服不会读取账号隐私数据，也不会查询或披露其他用户的账号、余额、日志、订单和密钥。
• 每次请求都会进入使用日志，可以核对模型、Token、状态和实际扣费。

相关政策

数据处理与服务条款见隐私政策和用户协议。接入或计费问题请通过联系支持处理，详细排查步骤见错误排查。