如果你發現 bug,以下係點樣話我哋知。

1. 我哋今日做緊嘅

• 透過 surge.sh 全 HTTPS

  wallbedking-hk.surge.sh 嘅每一頁都用 HTTPS 提供。HTTP 請求會 redirect。TLS 證書由 surge.sh 管理;我哋唔控制其輪替,但會自動續訂。

• 無第三方追蹤器啟用中

  chat-widget JS 預留咗 Google Analytics 4 同 Meta Pixel 嘅位 — 但目前冇追蹤 ID 部署。每當啟用一個,我哋會即日更新 /partners.html 同 /privacy.html。

• 所有圖片嘅 EXIF 已洗清

  根據 /photo-policy-zh.html:每張安裝相喺上載前已移除 GPS、機件序列號、拍攝時間。冇客戶識別資料透過圖片洩漏。

• 部署 gate 強制 rel="noopener"

  每個網站上嘅 <a target="_blank"> 都聲明 rel="noopener" 防止 tabnabbing — 由部署步驟 [3.897/4] 自動驗證。如果新連結遺漏,gate 會 fail。

• 客戶資料最少化

  我哋只收集保養履行 + 法定記錄所需嘅嘢。詳見 /privacy.html。資料保留:保養期屆滿 + 1 年,或經客戶要求即時刪除。

• 本靜態網站冇客戶資料

  客戶合約、未獲同意嘅安裝相、內部記錄 — 全部唔會喺公開網絡。佢哋線下保管。本域名上唯一嘅客戶來源內容,係已簽授權書嘅 gallery 相片。

2. 我哋仲未做嘅

• Content Security Policy(CSP)header

  surge.sh 嘅靜態 hosting 唔容許我哋輕易設定自訂 HTTP response header。我哋用 Tailwind CDN + Google Fonts CDN;嚴格 CSP 目前會 block 佢哋。遷移到支援自訂 header 嘅 host 喺 roadmap 上。

• Subresource Integrity(SRI)

  Tailwind CDN 同 Google Fonts script tag 目前唔用 SRI hash。如果其中一個 CDN 被入侵,內容可能會被注入。由於本網站冇客戶輸入欄(無 form、無登入),風險已減低,但仍係真實嘅缺口。

• 網絡保險

  我哋唔持有網絡保險 — 詳見 /insurance-zh.html 解釋(資料最少化已將資料庫規模減低至可控風險)。

3. 負責任披露 — 點樣報告 bug

1. 電郵 security@wallbedking.com.hk 主題寫 「SECURITY」 + 一句總結。
2. 描述你發現咗咩、URL/檔案、最好附上 proof-of-concept。
3. 我哋會喺1 個工作天內確認收到。
4. 我哋會喺5 個工作天內提供修復 ETA。嚴重問題(客戶資料外洩、內容注入)當天處理。
5. 當我哋公開修復(喺誠信記分卡「以前做錯嘅嘢」一節),你可以要求公開致謝。我哋唔會威脅或限制合法嘅安全研究員。

4. 不適用範圍

• Surge.sh 平台層級漏洞(直接報告 surge.sh)。
• Tailwind CDN、Google Fonts CDN — 我哋使用嘅第三方服務。
• 需要實體進入我哋陳列室或辦公室設備嘅問題。
• 對員工嘅社交工程。
• 容量攻擊(DoS / DDoS) — 我哋接受 surge.sh edge protection 嘅範圍。

5. security.txt

標準 RFC 9116 /.well-known/security.txt 文件已部署,連結到本頁同上述電郵地址作為公開聯絡。