更新日期：2026 年 10 月 3 日

安全：验证结果

说“很安全”很容易。这里是任何人都能重做的独立扫描结果、客户系统保护了什么，以及我们如何验证。

独立扫描工具的结果

我们在 2026 年 10 月 3 日用三个公开的扫描工具检查了本网站。点击每个链接即可立即重新测试：结果由扫描工具给出，而不是我们。

Préstamos Clover 和 Spanish with Emi 是我们用同一套系统制作的另外两个网站，同一天获得了相同的评级。

你的网站呢？ 用 Mozilla HTTP Observatory 免费检测（西班牙语）→

OWASP Top 10 是 Web 应用最常见风险的清单。以下是我们安装的系统（管理后台、客户专区和表单）如何应对每一项：

每个操作都在服务器端按个人权限授权；每位客户只能看到自己的数据（并有自动测试尝试读取其他客户的数据）；会话可以从服务器端关闭。

强制 HTTPS 并启用 HSTS；密码以 Argon2id 或 bcrypt 哈希保存；两步验证的密钥加密保存；激活码以哈希保存。

所有数据库查询都使用预处理语句；所有显示的内容都经过转义；内容安全策略（CSP）通过 nonce 或哈希只允许网站自己的脚本运行，不会有被注入的内联脚本或 onclick 属性。

每个表单都有 CSRF 令牌并检查来源（Origin 与 Sec-Fetch-Site）；会失效的一次性代码；敏感操作会再次要求密码（删除客户、下载备份），管理用户时还需要两步验证码。

只有允许的文件才能运行；数据位于网站公开文件夹之外；完整的安全标头；错误信息绝不向访客显示；网站打包时发现不安全之处就会停止。

服务器上没有第三方框架或插件；管理后台使用的两个库（图表和二维码）都通过完整性校验（SRI）加载。

团队必须使用两步验证；按 IP 和账号限制登录尝试次数；无论用户是否存在都返回相同的响应；安全的 __Host- Cookie，严格模式的会话在 30 分钟未使用或满 12 小时后失效。

上传的文件按实际内容校验，以随机名称存放在网站之外，提供时无法被执行；设计提案在隔离环境（沙箱）中打开，无法访问客户专区的会话。

安全日志涵盖登录、失败的尝试、被拒绝的访问和各项修改；缺少备份或有管理员未启用两步验证时，管理后台会显示提醒。

系统绝不会去下载用户发来的网址。

另外：每个使用管理后台的日子都会自动备份、自有统计不用 Cookie 也不保存 IP，还有用于报告问题的 security.txt 文件。

超过 400 项自动测试，每次修改都会运行：攻击尝试（注入、XSS、CSRF、会话劫持、访问其他客户的数据、恶意文件、暴力破解），以及用真实配置运行打包好的网站。
上线前进行了两次独立的安全审查，审查者都试图攻破系统。
每次上线后都进行在线检查：HTTPS、标头、绝不能被看到的文件，以及管理后台。

没有任何系统是无懈可击的：所以我们持续测量、审查，并公开结果让你自己检查。

如果你发现安全漏洞，请在公开之前以负责任的方式通知我们：联系方式在 /.well-known/security.txt，或发邮件到 info@paginasclover.com。我们会回复并尽快修复。

系统保存哪些数据、保存多久，请见隐私政策。