aicentos企业级
数据安全与合规
传输加密、部署形态与数据边界、日志记录范围、密钥治理与责任边界
Dernière mise à jour:
数据安全是这个产品的第一要求。本页说明数据如何流动、平台记录什么、双方的合规边界在哪——按可核查的事实写，不做无法验证的承诺。
数据流向
请求只经过两个环节：
你的程序 → aicentos 网关 → 上游模型厂商- aicentos 网关：负责鉴权、路由、计费与故障切换，是数据经过的唯一中间环节
- 上游模型厂商：推理最终由上游完成，其数据留存政策按其官方条款执行，这部分不由我们控制
平台上没有第三方数据接收方，我们不将调用数据用于转售或二次分发。
部署形态与数据边界
提供两种部署形态，数据边界不同，按你的合规要求选择：
| 公有云（aicentos.com） | 私有化部署 | |
|---|---|---|
| 网关位置 | 平台侧 | 你的内网或私有云 |
| 调用明细与审计记录 | 平台侧数据库，留存可合同约定 | 你的数据库，我们不接收、不存储 |
| 留存策略 | 平台策略 | 由你自行设定 |
| 身份认证 | 平台账号体系 | 可对接你自有的身份提供方（OIDC 单点登录） |
无论哪种形态，请求内容都会在转发到上游时还原为原文，详见下文传输加密。私有化部署把平台侧的留存降到零，适合要求数据不离开自有边界的场景。
传输加密
- 全站 HTTPS（TLS）加密传输：控制台、文档站、状态站均强制 HTTPS，HTTP 请求自动跳转，不提供明文入口
- API 调用同样只经 HTTPS 传输，不提供明文端口
把措辞说准确：aicentos 是转发型网关，请求需要在上游还原为原文才能完成调用，因此这里不是“端到端加密”——那是点对点直连才成立的模型。我们在传输链路上加密，并把存储侧的数据范围压到最小，这是这种架构下真实能做到的上限。把做不到的说成做得到，对你没有价值。
平台记录什么
用量日志只保存元数据，用于计费、路由归因与故障排查：
| 记录项 | 用途 |
|---|---|
| 模型、分组、渠道 | 计费与路由归因 |
| prompt / completion token 数、耗时、是否流式 | 计费与性能分析 |
| API 密钥标识、调用方 IP | 权限追溯与风控 |
| 请求 ID、上游请求 ID | 故障定位与对账 |
| 错误信息 | 故障排查与上游质量评估 |
请求与响应的正文内容不写入日志，控制台也不提供按对话内容检索的能力。
除用量日志外，系统还独立记录操作与访问审计（登录、安全、操作、令牌四类事件），用于回答“谁在何时用哪个密钥做了什么”；审计同样不包含调用内容，且独立于用量日志的清理策略保留。密钥以指纹形式记录，不保存明文。详见明细查询与审计。
需要约定特定的日志保留周期或删除策略，可在合同中单独写明。
身份与访问控制
除密钥管控外，账号侧的访问控制包括：
- 登录方式：密码登录；私有化部署可对接你自有的身份提供方（OIDC 标准）实现单点登录
- Passkey：基于 WebAuthn 的通行密钥登录，不依赖密码；公有云暂未开放，私有化部署可启用
- 二次验证：支持动态口令与一次性备份码，可按你的安全要求设为强制
- 会话吊销：密码或权限发生变更后，该账号的所有已登录会话立即失效，需重新登录
- 权限最小化：管理权限可细分到具体功能项，审计查询权限可单独授予——给财务或合规岗开只读视图，不涉及其他管理功能
单点登录的准入条件可按身份提供方返回的组织、角色等属性设定，人员的进入与退出由你的账号体系驱动，见团队协作与权限。
密钥治理
每个 API 密钥可独立配置、随时吊销：
- 额度上限：控制成本，也限定意外泄露后的损失上限
- 模型白名单：只放开该业务确实需要的模型
- IP 白名单：限定调用来源
- 有效期：临时授权到期自动失效
密钥可随时吊销并重新签发，单个密钥泄露不影响其他密钥。
责任边界
- 请求内容与生成内容的合规性由调用方负责；我们按上游厂商与当地法规要求配合处理
- 如需 NDA 或更详细的安全口径，可通过服务与支持沟通
接入侧建议
- 不要把 API 密钥写进前端代码或公开仓库
- 为密钥设置有效期与 IP 白名单，缩小意外泄露的影响面
- 测试与生产环境使用不同密钥，分别设置额度