发现了什么？ 书面安全港。
Trustvice 是合规与信任平台——我们要求客户达到的标准，我们也要求自己。若你善意发现漏洞，通过 security@trustvice.com 报告，你就受到保护：明确的范围、响应 SLA，以及公开披露前协调的 90 天窗口。本页是 /.well-known/security.txt 的人类可读配套。
安全港
善意行事， 我们不会追究你。
在本政策下进行的安全研究是被授权的。我们不会对你发起或支持法律行动，并认为你的测试在适用的计算机滥用与反规避法下处于良好状态，前提是你：
- 只访问属于你自己的数据与账户，或你有明确许可测试的数据与账户。
- 只取证明问题所需的最少数据，且绝不存储、分享或使用你遇到的客户数据。
- 不降低服务、不外泄数据、不转向攻击其他客户。
- 在公开披露前给我们合理时间（90 天）修复，并与我们协调时间。
- 遵守所有适用法律。
若第三方因你符合本政策的活动对你提起诉讼，我们将表明你的行为是被授权的。
如何报告
一个收件箱。 由人阅读。
对问题及其安全影响的清晰描述。
逐步复现——请求/响应、URL、账户/工作区上下文（使用你自己的）。
受影响资产（主机、端点或界面）以及测试时间（UTC）。
任何概念验证代码或截图——仅保留证明问题所需的最少内容。
范围
什么在范围内， 什么在范围外。
范围内
- www.trustvice.com 与营销站点
- app.trustvice.com — 客户仪表盘
- api.trustvice.com — 网关 / 智能体 API 面
- ui.tve.world — MCP Apps 确认 iframe 来源（刻意使用与 trustvice.com 不同的可注册域，使会话 cookie 到不了那里）
- /.well-known/* 发现与密码学密钥端点
- 认证（WebAuthn / FIDO2、magic links）与会话处理
范围外
- 针对我们子处理者（Cloudflare、Amazon Web Services、Stripe、欺诈服务商）的发现——向提供方报告；若原因是 Trustvice 配置错误请告诉我们。
- 容量型 / 拒绝服务、暴力破解或负载测试。
- 对员工或客户的社会工程，以及物理攻击。
- 没有可证明影响的最佳实践报告（例如缺失头、SPF/DMARC 小问题、版本披露），且没有具体利用。
- 垃圾邮件、self-XSS，或需要受害者设备已被完全攻陷的问题。
你可以从我们这里期待什么
一份时间表， 不是真空。
2 个工作日内确认
我们确认收到你的报告并分配跟踪编号。发到 security@trustvice.com 的每份报告都由人阅读。
5 个工作日内分诊 + 严重度
我们核验、指定严重度，并告知修复计划。我们镜像已在 /security 公布的争议 SLA 纪律：严重 24 小时 · 高 3 天 · 中 7 天 · 低/信息 14 天内首次实质性回复。
协调的 90 天窗口
我们请求最多 90 天在公开披露前完成修复，并持续告知进展。若修复需要更久，我们与你约定延期，而不是消失。
署名，如果你想要
经你许可，修复上线后我们按姓名或 handle 署名。Trustvice 尚未产生收入，目前不运行付费赏金——这是安全港与认可计划，说清楚。
机器可读 + 延伸阅读
Trustvice 360声明规则，让每次运行都接受检查。
智能体、证据、治理、商务和披露都在 Trustvice 360 中。免费注册，在一个仪表板中打开所有套件。