Free100Leads

安全

最近更新 19 August 2026

本文件以英文发布，翻译仅为方便阅读。如译文与英文版本不一致，以英文版本为准。

我们不持有的东西

你读到的大多数泄露事件都关于卡号。我们一个也不存。支付页面由 Stripe 托管，卡数据从你的浏览器直达他们，不经过我们，所以这里没有可丢失的卡数据，这比我们自己处理换来的任何控制权都更值钱。

密码以带每账户盐值的 scrypt 哈希存储，绝无可逆形式，我们无法告诉你你自己的密码，因为我们不知道。会话标识符同样哈希存储，数据库副本不等于一批活会话。API 密钥同理: 只保留秘密一半的 SHA-256，所以丢失的密钥只能更换，无法找回。

我们不存完整 IP 地址。地址在写入前截断到网段。

线索之上没有未认证 API。 本域名上没有任何东西会向无密钥调用者以 JSON 返回联系人记录。付费 API 在独立主机名上，需要绑定订阅的密钥，按密钥计量限速，且无法按标识符取记录，因此不能像 offset 或 id 那样并行遍历。
签名的服务器端标识符。 访客 Cookie 为 HTTP only 且带签名，无法通过编辑铸造新的额度。
一次性请求令牌。 每个批次都需要用后即废的令牌，截获的请求无法重放。
转盘结果由服务器决定。 浏览器只是把动画播到结果。奖品的任何部分都无法从客户端改动。
分层限速。 按访客、按网段，再加全站每日总上限。再执着的爬虫也无法把慢渗漏变成快渗漏。
可追溯标记。 每个完整批次都带有该访客当日独有的标记，交付给付费密钥的记录带有绑定密钥和账期的标记。名单若出现在别人的产品里，我们能证明它来自哪里。
新订阅的爬坡期。 全新付费账户在一周内逐步达到完整日上限，而不是立即。这让"订阅、尽量搬空、然后拒付"失去价值。

德国的专用硬件，由 Hetzner 运营。Cloudflare 在源站前终结 TLS 并过滤流量。数据库无法从公网访问，管理访问仅凭密钥。

请通过联系表单发送。写明发现的内容和复现方法。会有真人回复，并在三十天内给出修复或时间表。

善意报告，我们就不会追究你，无论条款其他部分怎么写。善意的意思是: 只测试你自己的访客会话、点到为止不深入、绝不碰他人数据、发布前给我们修复的机会。

请不要做拒绝服务测试、物理攻击、对公司任何人的社会工程，以及任何会降低其他访客服务质量的事。我们没有付费赏金，愿意署名的我们会致谢。

如果泄露危及任何人的数据，我们会在知悉后 72 小时内通知相关监管机构，并在法律要求处直接告知受影响的人。我们也会发布在本页。

值得直说，因为大多数安全页面不会说。匿名限速在设计上就是尽力而为。有住宅代理和足够耐心的人，可以拿走超出其份额的数据。上面的层层防线是为了让这件事变得又慢又贵，而不是不可能，全站每日上限则封住了任何一天能失去的量。

联系人数据本身是公开信息，所以泄露的风险不同于密码泄露。这不是可以大意的理由，隐私声明写明了我们持有什么以及为什么。