银行级安全，端到端覆盖
本页逐层说明 Capay Global 如何保护每一笔付款、每一笔出款和每一条记录。这里描述的每项控制措施目前均已在生产环境中运行。
最近审查日期：2026年11月3日
一览可信
- 传输中 TLS 加密
- 静态 AES-256 加密
- 通过 HSTS 强制 HTTPS
- PCI DSS：我们的系统不存储任何卡数据
- SOC 1 与 SOC 2 控制框架
- 双因素认证
- 行级数据隔离
- 不可篡改的审计轨迹
- 双人复核代付
- KYB、AML 与制裁筛查
- 完整安全审查，2026 年 10 月
数字看安全
- 0
- 个卡号曾存储在我们的系统中
- 100%
- 的数据库表受行级安全保护
- 7
- 年仅追加审计记录保留期
- 2
- 名审批人把关每一笔超过阈值的代付
- 300
- 秒后文档链接自动失效
- 400
- 天边缘访问日志保留用于取证
我们如何证明：审计、修复、测试、再审计
我们不是从渗透测试开始。我们先审计整个生产系统，修复审计发现的问题，邀请独立团队尝试入侵，然后再次审计，确认修复有效。
- 01
覆盖 13 个层面的生产审计
对线上平台的全面审查：身份验证、数据库、API、资金路径、托管、部署、监控、恢复等。已于 2026 年 10 月完成。
- 02
修复审计发现的问题
严重和高危问题已在当晚修复并完成验证。其余每一项都有负责人并正在处理，优先处理保护资金和访问权限的事项。
- 03
外部渗透测试
一家独立安全公司将在我们授权下攻击平台，找出修复中遗漏的任何问题。客户可在签署 NDA 后索取报告摘要。
- 04
第二次审计
我们将重复 13 个层面的审计，确认每项修复均有效，然后更新本页的评分卡。
生产评分卡：13 个层面
目前保护平台每一层的措施，已在我们 2026 年 10 月的生产环境审计中审查。
- 01
身份验证与访问
面向商户和员工的双因素认证、基于角色的权限，以及默认拒绝的登录关卡。
- 02
数据库与数据隔离
每张表都启用行级安全，企业只能读取自己的数据，每个特权函数都会先检查调用者的角色。
- 03
API 与 Webhook
哈希处理的 API 密钥、按密钥和按 IP 的速率限制、IP 白名单，以及经过签名、防重放的 Webhook。
- 04
资金完整性
复式记账账本、必须平衡的分录、每次资金调用均具备幂等性，出款需双人审批。
- 05
加密与密钥
传输中使用 TLS，静态数据使用 AES-256，密钥存放在任何应用都无法读取、任何日志都不会显示的锁定表中。
- 06
托管与边缘
AWS CloudFront 位于 Cloudflare 之后，仅使用私有存储，强制 HTTPS 并启用 HSTS 和严格的浏览器标头。
- 07
部署与变更控制
脚本化发布并内置安全检查，每次发布后进行实时探测，迁移可安全重放。
- 08
监控与告警
服务商健康检查、钱包余额告警、账本检查、熔断机制和公开状态页面。
- 09
日志与审计追踪
仅追加的审计日志保存七年，每次 API 调用都有请求 ID，边缘访问日志保存 400 天。
- 10
扩展与韧性
速率限制、紧急停止开关和熔断机制，可停止出现故障的支付通道，而不影响其他通道。
- 11
恢复与对账
每晚进行账本检查，自动复查状态以确保没有付款悬而未决，安全重试绝不重复扣款。
- 12
事件响应
书面事件响应计划，包含严重级别、指定角色、可在数秒内停止通道的紧急开关以及客户通知。
- 13
合规与隐私
任何企业上线前均进行 KYB、AML 和制裁筛查，持续监控，我们的系统中不存储任何卡数据。
支付的每一步都受到保护
跟随一笔支付从客户的手机走到您的余额，看看每一跳由哪项控制措施把守。
- 1
您的客户付款
在通过 TLS 提供的托管收银台或支付链接上完成。卡号永远不会到达 Capay Global；移动货币的确认在客户自己的手机上进行。
- 2
您的集成调用 API
使用经哈希且限定范围的密钥进行认证；按密钥和按 IP 限制速率；每个请求都携带幂等键和请求 ID，疑似卡数据在边缘即被拒绝。
- 3
账本记录这笔交易
在调用任何服务商之前，意向记录已经存在，入账金额来自该意向，绝不来自客户端。每一条分录都必须平衡，否则数据库会拒绝写入。
- 4
服务商确认
回调基于原始请求体进行签名校验，采用恒定时间比较，针对重放进行去重，并在应用任何变更之前重新获取服务商自身的记录。
- 5
您发起代付
收款人经过筛查，超过您设定阈值的代付需等待第二位审批人完成双因素二次验证，审批后收款目标即被锁定，熔断机制会停用出现故障的渠道。
- 6
您看到全部
管理后台访问受双因素认证保护，数据通过行级安全按企业隔离，向您的系统发送的 Webhook 均经签名，审计轨迹无法编辑。
纵深防御，四层防线
每一层都假设上一层可能失守。一个请求必须通过全部四层，才能触及资金。
- 01边缘
- Cloudflare 与 AWS CloudFront
- 每个连接都使用 TLS
- 通过 HSTS 强制 HTTPS
- 源站访问控制，无公开存储桶
- 严格的浏览器安全标头
- 访问日志保留 400 天
- 02应用
- SHA-256 哈希的 API 密钥
- 按密钥和按 IP 的速率限制
- 每次资金调用都具备幂等性
- 入口卡数据防护
- 签名且防重放的 Webhook
- 沙箱与真实服务商隔离
- 03数据
- 每张表都启用行级安全
- 静态 AES-256 加密
- 零访问机密表
- 仅追加的审计日志
- 保留七年
- 私有文档存储，300 秒链接
- 04资金
- 以最小货币单位记录的复式记账账本
- 强制分录平衡
- 双人复核加双因素二次验证
- 紧急停止开关与熔断机制
- 每个钱包的备付金监控
- 每晚对账哨兵
传输中与静态加密
- 每一个连接都使用 TLS：浏览器、API、Webhook 和服务商链路。每个 Capay Global 域名都通过 HTTP Strict Transport Security 强制使用 HTTPS。
- 数据库和对象存储采用 AES-256 静态加密，由基础设施提供商基于硬件的密钥管理服务管理。
- 机密信息（服务商凭证、Webhook 密钥、幂等键）保存在零访问表中，任何应用角色都无法读取；它们在每一条日志和审计记录中都会被脱敏。
- 验证文档存储在私有存储桶中，限定在企业自己的文件夹内，只能通过 300 秒有效的签名链接打开。
PCI DSS：不存储持卡人数据的平台
- 我们从不接收、存储、处理或传输卡号或 CVV。入口防护会拒绝每个 API 请求体中的疑似卡数据，数据库触发器会在收款、代付和退款中再次拒绝。
- 如提供卡支付，则在合作伙伴 PCI DSS 范围内运营的托管页面上运行；Capay Global 只处理脱敏后的引用。
- 虚拟卡通过持牌合作伙伴发行；完整卡号从不存储在我们的系统中。
资金完整性
- 以最小货币单位记录的复式记账账本：每一笔资金流动都是带有唯一引用的平衡分录，数据库触发器会拒绝任何不平衡的分录。
- 每一次资金调用都具备幂等性：预留优先记录、唯一的分录引用，以及发送给服务商的同一密钥，因此重试永远不会重复扣款或重复付款。
- 代付、调整和外汇操作均需双人复核审批，审批人需完成双因素二次验证。
- 每个入口都设有紧急停止开关，代付失败时触发熔断机制，每个钱包都有备付金监控，并由每晚运行的账本哨兵对账。
- 沙箱在物理上无法连接任何真实服务商。
身份与访问
- 商户与员工均使用双因素认证（TOTP）；验证失败即拒绝访问，绝不放行。
- 每张表都启用行级安全：企业永远只能读取自己的数据行，由数据库强制执行，而非应用代码。
- 为您的团队（所有者、财务、开发者、支持）和我们的团队设置基于角色的权限；每一个特权操作都会先校验权限。
- 密码策略包含泄露密码检测、短时效一次性验证码、登录速率限制，以及退出登录时结束会话并清除缓存。
- 管理员邀请、角色变更和停用均会被审计并立即生效。
API 与 Webhook 安全
- API 密钥经 SHA-256 哈希；只保存前缀，密钥仅在创建时显示一次。
- 按密钥和按 IP 的速率限制、可选的 IP 白名单、每日支出上限、国家和支付方式限制，以及一键轮换。
- 代理密钥的真实资金操作能力需单独启用，且仅在双因素认证之后开放。
- 出站 Webhook 采用 HMAC 签名，带时间戳和防重放保护；入站服务商回调基于原始请求体以恒定时间比较进行验证，并在任何状态变更之前重新获取服务商的真实记录。
合规计划
- 上线前完成 KYB：注册文件、受益所有人、制裁筛查以及两人审批。
- 持续的 AML 监控，配有清晰的处置流程、定期 KYB 复核以及每家企业的风险评级。
- 财务记录和审计日志在仅追加的表中保留七年，数据库层面即阻止编辑和删除。
- 控制措施对应 SOC 1 与 SOC 2 信任服务准则（安全性、可用性、保密性、处理完整性）以及 PCI DSS 不存储持卡人数据的合规姿态。
- 2026 年 10 月完成了对生产平台（数据库、认证、Web 分发、API、资金路径、浏览器）的完整安全审查，每一项发现都已修复或指定负责人。
基础设施与运维
- 网站和应用由 Cloudflare 之后的 AWS CloudFront 提供服务，启用源站访问控制，每个存储桶均为私有。
- 严格的浏览器安全标头：禁止嵌入框架、Content-Security-Policy frame-ancestors none、Permissions-Policy 以及跨源 opener 隔离。
- 边缘访问日志保留 400 天用于取证；每次 API 调用都记录请求 ID、IP 和用户代理。
- 每次构建都进行依赖审计，提供公开状态页，对每个服务商进行健康探测，并向运维团队发送事件告警。
您的数据存放在哪里
对每次安全审查中数据驻留问题的直接回答。
平台数据库和文档
通过我们的数据库服务商托管在 Amazon Web Services 上，静态数据使用 AES-256 加密。
网站、控制台和收银台
通过 Cloudflare 之后的 Amazon CloudFront 边缘网络在全球提供服务，页面在靠近您客户的位置加载。边缘不存储任何客户记录。
支付合作伙伴
完成付款所需的信息仅与处理该付款的持牌移动货币、银行和银行卡合作伙伴共享。
我们团队的访问
只有获得授权的员工才能通过基于角色的权限查看客户记录，每项特权操作都会写入不可编辑的审计日志。
如果出现问题
我们如何处理安全事件，从第一条告警到最终复盘。
- 01
发现
针对服务商故障、钱包余额、账本不一致和异常活动的自动告警会发送给我们的运营团队。
- 02
遏制
紧急停止开关和熔断机制可在数秒内停止受影响的支付通道，泄露的密钥或会话可立即撤销。
- 03
通知
受影响的客户会及时了解发生了什么、对他们意味着什么以及我们正在采取的措施，不会无故拖延，并在法律规定的时限内完成。
- 04
改进
每次重大事件都会以书面复盘和防止再次发生的修复措施收尾。
我们的书面事件响应计划规定了严重级别、角色、响应时间和客户通知。合作伙伴和企业客户可在 NDA 下申请副本。
安全问题解答
我的数据是否加密？
是的。与 Capay Global 的每一个连接都使用 TLS，数据以 AES-256 静态加密。机密信息保存在锁定的表中，绝不会出现在日志里。
你们会存储卡号吗？
不会。Capay Global 从不接收、存储、处理或传输卡号或 CVV。卡数据会在 API 边缘和数据库内部被拒绝，卡支付只在合作伙伴 PCI DSS 范围内的托管页面上运行。
你们符合 SOC 2 和 PCI DSS 吗？
我们的控制框架对应 SOC 1 与 SOC 2 信任服务准则，平台以 PCI DSS 不存储持卡人数据的合规姿态运行。合作伙伴和企业客户可以索取安全概览、控制矩阵以及我们的服务提供商的认证报告。
Capay Global 的员工能转走我的资金吗？
任何人都无法单独做到。超过您设定阈值的代付需要您这一方的第二位审批人，我们这一方的特权操作需要权限和书面理由，并留下永远无法编辑的审计记录，账本也会拒绝任何不平衡的资金流动。
如何报告漏洞？
请将详细信息发送给我们的支持团队；每一份报告都会得到确认并及时处理。我们提倡负责任的披露，绝不追究善意的研究人员。
你们做过渗透测试吗？
我们遵循严格的顺序：先进行完整的生产环境审计（已于 2026 年 10 月完成），然后修复，再进行独立渗透测试，最后进行第二次审计以确认修复有效。合作伙伴和企业客户可在 NDA 下申请我们的审计摘要，以及发布后的渗透测试摘要。
我的数据存放在哪里？
平台数据库和文档托管在 Amazon Web Services 上，静态数据使用 AES-256 加密。网站和收银台页面由不存储任何客户记录的全球边缘网络提供。
负责任的漏洞披露
我们欢迎安全研究人员。如果您认为自己发现了 Capay Global 的漏洞，请私下告知我们，并给我们合理的修复时间。我们会确认收到每一份报告，绝不追究善意的安全研究。
- 1将详细信息发送给我们的团队：您发现了什么、在哪里，以及如何复现。
- 2我们会确认收到，并持续向您通报进展，直至修复完成。
- 3请在公开披露之前给我们合理的修复时间。
要向我们发送安全问卷吗？
请在签约之前发送，而不是之后。我们会以本页和评分卡作答，并在签署 NDA 后提供详细的安全概览、控制矩阵以及服务商的认证证明。