更新日期：2026 年 10 月 3 日

資訊安全：驗證結果

說「很安全」很容易。這裡是任何人都能重做的獨立掃描結果、客戶系統保護了什麼，以及我們如何驗證。

獨立掃描工具的結果

我們在 2026 年 10 月 3 日用三個公開的掃描工具檢查了本網站。點每個連結就能立刻重做測試：結果由掃描工具產生，不是我們。

Préstamos Clover 與 Spanish with Emi 是我們用同一套系統做的另外兩個網站，同一天得到相同的評等。

你的網站呢？ 用 Mozilla HTTP Observatory 免費檢測（西班牙語）→

OWASP Top 10 是網頁應用程式最常見風險的清單。以下是我們安裝的系統（管理後台、客戶專區和表單）如何因應每一項：

每個動作都在伺服器端依照個人權限授權；每位客戶只看得到自己的資料（並有自動測試嘗試讀取其他客戶的資料）；工作階段可以從伺服器端關閉。

強制 HTTPS 並啟用 HSTS；密碼以 Argon2id 或 bcrypt 雜湊保存；兩步驟驗證的金鑰加密保存；啟用碼以雜湊保存。

所有資料庫查詢都使用預備陳述式；所有顯示的內容都經過跳脫處理；內容安全政策（CSP）以 nonce 或雜湊只允許網站自己的程式執行，不會有被注入的內嵌程式或 onclick 屬性。

每個表單都有 CSRF 權杖並檢查來源（Origin 與 Sec-Fetch-Site）；會失效的一次性代碼；敏感操作會再次要求密碼（刪除客戶、下載備份），管理使用者時還要兩步驟驗證碼。

只有允許的檔案能執行；資料放在網站公開資料夾之外；完整的安全標頭；錯誤訊息絕不顯示給訪客；網站打包時發現不安全的地方就會停止。

伺服器上沒有第三方框架或外掛；管理後台使用的兩個程式庫（圖表與 QR 碼）都以完整性驗證（SRI）載入。

團隊必須使用兩步驟驗證；依 IP 與帳號限制登入嘗試次數；使用者存不存在都回應一樣的訊息；安全的 __Host- Cookie，嚴格模式的工作階段在 30 分鐘沒有使用或滿 12 小時後失效。

上傳的檔案依實際內容驗證，以隨機名稱存放在網站之外，提供時無法被執行；設計提案在隔離環境（沙箱）中開啟，無法存取客戶專區的工作階段。

安全紀錄涵蓋登入、失敗的嘗試、被拒絕的存取和各項修改；缺少備份或有管理員沒啟用兩步驟驗證時，管理後台會顯示提醒。

系統絕不會去下載使用者傳來的網址。

另外：每個有使用管理後台的日子都會自動備份、自有統計不用 Cookie 也不保存 IP，還有回報問題用的 security.txt 檔案。

超過 400 項自動測試，每次修改都會執行：攻擊嘗試（注入、XSS、CSRF、工作階段竊取、存取其他客戶的資料、惡意檔案、暴力破解），以及用實際設定執行打包好的網站。
上線前做了兩次獨立的資安審查，審查者都試圖攻破系統。
每次上線後都做線上檢查：HTTPS、標頭、絕不能被看到的檔案，以及管理後台。

沒有任何系統是無懈可擊的：所以我們持續量測、審查，並公開結果讓你自己檢查。

如果你發現資安漏洞，請在公開之前以負責任的方式通知我們：聯絡方式在 /.well-known/security.txt，或寫信到 info@paginasclover.com。我們會回覆並盡快修正。

系統保存哪些資料、保存多久，請見隱私權政策。