資安揭露政策

安全政策 v2.0

Version 2.0 · 2026-08-20 · Governance 2.0 public evidence surface

治理 2.0 摘要

此頁已納入 starnum 公開治理 2.0 介面，與系統卡、資料治理、透明度報告、使用政策和安全政策使用同一套證據層。

治理摘要

本頁定義安全聯絡、揭露邊界、crawler access 與發布完整性如何被公開記錄。

適用範圍

涵蓋 security.txt route、crawler policy、可部署安全 artifacts、揭露限制、GPG 狀態與 evidence registry 連結。

實作狀態

2.0 讓安全細節足以被驗證，同時不暴露 secrets 或可利用的內部資訊。

starnum.com.tw 重視使用者資料安全與網站安全。我們歡迎安全研究人員透過負責任揭露（Responsible Disclosure）的方式通報潛在漏洞，並承諾以開放、尊重、即時的態度回應。

聯絡方式

請透過以下管道回報資安問題：

Instagram DM：@mychenan（命理師本人直接接收，所有資安問題請透過此管道）

本站為單人營運，由命理師本人即時處理，回應速度優於傳統 email。

機器可讀版本：/.well-known/security.txt（符合 RFC 9116）

回報範圍

主網域：starnum.com.tw 及所有子網域
Cloudflare Workers（API 端點）
前端 HTML/JS/CSS（XSS、內容注入）
Supabase 後端資料存取控制
認證與授權流程

不在範圍內：第三方服務（Cloudflare 基礎設施本身、Google Analytics、Supabase 平台本身）、社交工程攻擊、實體安全。

回報內容建議

漏洞描述與影響範圍
重現步驟（越詳細越好）
受影響的 URL / 元件
截圖或 PoC（Proof of Concept），如適用
您希望以何種方式被感謝（公開 / 匿名）

時程承諾

里程碑	目標時程
收到通知確認	3 個工作天內
初步評估與嚴重性分級	7 個工作天內
低/中風險修復	30 天內
高風險修復	60 天內
嚴重漏洞修復	90 天內（若需更長時間會主動告知）
公開揭露（協調後）	修復完成後，與研究人員協調時機

我們的承諾

確認收到您的回報，並全程保持溝通
不對善意回報的研究人員採取法律行動
修復後通知您，並在您同意下公開感謝
若您希望公開署名，我們將在感謝頁面列出您的姓名或網路代號

研究人員守則

請勿存取或修改他人資料
請勿執行阻斷服務（DoS/DDoS）測試
請勿公開揭露漏洞，直到我們確認修復完成
測試範圍僅限上述 Scope

感謝名單

感謝以下安全研究人員協助提升 starnum.com.tw 的安全性：

（首位回報者將永遠記錄於此）

HTTPS 與資料安全

全站強制 HTTPS（Cloudflare Pages + HSTS preload）
HTTP 安全標頭：CSP、HSTS、X-Frame-Options、X-Content-Type-Options、Referrer-Policy、Permissions-Policy
依賴漏洞掃描由本機工具定期執行（Dependency scanning performed locally）
pre-commit hook 自動檢查 API Key 洩漏與 Merge Conflict 標記

外部標準與一手來源

以下連結是本頁治理判斷採用的一手標準；它們是對照基準，不代表第三方替本站背書。

目前機器稽核快照

此區塊只使用本機可追溯的稽核資料，不新增無來源宣稱。日期為實際產出日。

2026-08-20

維護日期

17/17

LLM 閉環

180/180

治理頁

JSON-LD 錯誤

32,724

KB chunks (HEALTHY)

512,152

TM entries; verified 6,250

7,976/7,976

AI answer-ready; failures 0

critical

狀態頁: 3 critical, 1 warnings

data/state-machine/i18n-parity.json: 8,036 parent URLs, 7,976 articles.
data/kb-machine-audit.json: 3,238 source files, 0 missing coverage, 0 orphan chunks.
data/discovery-surface-audit.json: 0 errors, 0 warnings.
data/sla-report.json: critical / 3 critical, 1 warnings.

內容維護與更新判斷

此區塊讓治理頁內容可被機器檢查：每頁都必須公開它依賴哪些資料、哪些關聯頁會影響它，以及哪個 gate 會提報需要更新。

更新判斷

此頁不是靜態文案；來源資料、相關政策、公開指標或生成器變更時，AI Ops 只產出證據，由 AI agent 判斷是否改文。

人工邊界

系統負責偵測、提報與留證；最終修復與語氣判斷由 Codex/Claude 等 agent 執行。

驗證指令

node scripts/verify-trust-pages.js --check

data/sla-report.json
data/public-claim-registry.json
data/discovery-surface-audit.json
關聯治理頁: 隱私政策 · AI 安全 · 使用政策 · 透明度報告
更新流程: npm run update:trust-pages → npm run test:trust

可查驗 Evidence Layer

此區塊不是口號；每一個核心宣稱都有 claim id、來源 JSON、hash 與可重跑的驗證指令。公開頁只揭露可公開的治理證據，不公開原始碼、密鑰、私有資料或可被濫用的攻擊面細節。

Claim ID	可查驗值	狀態	責任頁	來源與驗證
claim.public-url-manifest.indexable-count 公開 URL 與 canonical 清單	39,104 indexable URLs	verified	sitewide	`node scripts/generate-public-evidence-manifest.js --dry`
claim.trust-pages.audit-pass-rate 治理頁機器稽核	180/180 pass	verified	sitewide	`node scripts/verify-trust-pages.js --check`
claim.discovery-surface.zero-errors AI discovery surface 稽核	{"errors":0,"warnings":0}	verified	sitewide	`node scripts/verify-discovery-surface.js`
claim.structured-data.jsonld-errors JSON-LD / 結構化資料稽核	{"structured_data_invalid_files":0,"breadcrumb_count":28274,"faq_count":27506,"dataset_count":30,"article_count":27406}	verified	sitewide	`node scripts/site-machine-audit.js`
claim.status.sla-state 狀態頁 SLA 來源	critical / 4 critical, 0 warnings	verified	sitewide	`node scripts/generate-status-page.js`
claim.provider-alignment.openai-anthropic-gemini OpenAI / Anthropic / Google Gemini 對標	benchmark alignment only unless code/config evidence exists	verified	sitewide	`node scripts/verify-public-evidence.js --check`
claim.transparency-report.sha256 透明度報告 SHA-256 錨定	{"report":"transparency/report-2026-Q3.json","sha256":"f154fc87139b42098b02567fc93582c30addafc406420b3aea8bae79b6f4ac93"}	verified	sitewide	`node scripts/update-transparency-current-data.js`
claim.release-integrity.gpg-signing GPG signing 狀態	GPG signing active locally; checked GitHub commit verification is valid	verified	sitewide	`gpg --list-secret-keys --keyid-format=long && git log -1 --show-signature`
claim.security-policy.security-header-state Security header 狀態機	{"state":"A_GRADE"}	verified	security-policy	`node scripts/verify-public-evidence.js --check`
claim.security-policy.security-txt-route security.txt 機器可讀路徑	{"publicPath":"/.well-known/security.txt"}	verified	security-policy	`node scripts/repair-internal-links.js --check`
claim.security-policy.crawler-access AI crawler discovery 存取控制	{"artifacts":["/robots.txt","/llms.txt","/.well-known/llms.txt"]}	verified	security-policy	`node scripts/verify-discovery-surface.js`

public-evidence-manifest.json public-claim-registry.json public-verification-report.json public-url-manifest.json

系統卡 V2.0：技術透明公開層

此層把可公開的技術治理證據集中呈現：架構、資料來源、AI 使用邊界、品質閘門、發布完整性與供應商對標。公開範圍刻意排除原始碼、密鑰、可被濫用的攻擊面細節與私人資料。

公開架構

Cloudflare Workers、R2/D1/KV 與本機生成腳本共同構成公開網站與治理資料發布鏈。對外只公開行為、狀態與可驗證資料源，不公開密鑰或內部操作權限。

AI 使用揭露

程式碼掃描目前可驗證的 production inference 模型：未在 production code scan 中找到可驗證模型設定。OpenAI、Anthropic、Google Gemini 三方作為治理框架對標；未有程式碼或設定證據者，不寫成已上線使用。

品質與安全閘門

治理頁稽核 180/180 通過、JSON-LD 錯誤 0、discovery surface 錯誤 0。狀態頁如實顯示 critical / 3 critical, 1 warnings。

資料與可追溯性

知識庫 32,724 chunks、TM 512,152 entries、AI answer-ready 7,976/7,976。公開數據追到 data/state-machine/*、data/*audit*.json 與 transparency 報告。

治理面向	OpenAI	Anthropic	Google Gemini	Starnum 落實證據
模型/系統卡揭露	OpenAI models + safety docs	Claude model docs + system/model cards	Gemini model docs + safety settings	system-card、model-card、methodology、benchmark、transparency-log
安全評估與使用邊界	Safety best practices / deployment checklist	Responsible Scaling / safety policy	Gemini safety controls / policy	AI safety、acceptable-use、ethics、risk boundary copy、crawler policy audit
資料治理	Data controls / privacy controls	privacy and data handling docs	Gemini API data governance references	privacy、ai-data-governance、KB/TM source tracking、SHA-256 hashes
監控與發布	production checklist / eval discipline	system-card transparency discipline	model/version documentation discipline	deploy.js、status.html、SLA report、trust-pages-machine-audit、sitemap/hreflang audits

來源：data/state-machine/model-card.json、public-bench.json、trust-pages.json、security-headers.json。
來源：data/trust-pages-machine-audit.json、data/discovery-surface-audit.json、data/ai-answer-readiness-audit.json。
來源：data/kb-machine-audit.json、data/tm/quality-audit-report.json、data/sla-report.json。
官方對標文件檢查日：2026-08-20；連結列於 OpenAI / Anthropic / Google Gemini 對標表。

V2.0 的重點不是多寫形容詞，而是把「已落實」與「尚未落實」分開：production 使用、治理對標、狀態異常、GPG 簽署、SLA breach 都依來源資料如實公開。

發布完整性與 GPG

GPG signing active. signingkey=0934DFA0EDA6363A. Checked GitHub commit verification is valid.

OpenAI / Anthropic / Google Gemini 對標

本站治理文件同步對照三家公開框架：模型文件、系統卡/模型卡、安全評估、資料治理與使用政策。這是治理對標，不等於宣稱每一家都已用於 production inference。官方文件檢查日：2026-08-20

對標來源	治理焦點	本站揭露	官方來源
OpenAI	模型文件、最新模型說明、安全最佳實務、資料控制。	目前未在 production code scan 中找到可驗證模型設定；模型供應商僅列為治理對標。	https://platform.openai.com/docs/models
Anthropic	Claude 模型文件、system card / model card、Responsible Scaling 與安全政策。	目前未在 production code scan 中找到可驗證模型設定；模型供應商僅列為治理對標。	https://docs.anthropic.com/en/docs/about-claude/models
Google Gemini	Gemini API 模型文件、安全設定、資料治理與平台政策。	目前未在 production code scan 中找到可驗證模型設定；模型供應商僅列為治理對標。	https://ai.google.dev/gemini-api/docs/models