安全与合规

OpenBait 的数据存放在哪里、怎么登录、举报页收集什么、被举报的网址会发给谁、用了哪些子处理方。写给做供应商审查的人。

这一页写给做供应商审查的人。上面每一句说的都是今天已经存在的东西。基础设施的细节，以及还没有落实的措施，签署 NDA 后在安全问卷里回答。如果你的问卷问到这里没覆盖的内容，请联系 contact@openbait.com。

数据存放位置

主数据（账号、品牌、举报、案件、证据）存放在日本。其中一部分会交给下文列出的子处理方处理，它们位于欧盟和美国。
前置：Cloudflare（DNS、CDN、DDoS 防护、TLS 终止）。

加密

传输：全站 HTTPS，TLS 1.2 及以上（客户端支持时使用 TLS 1.3）。HSTS 有效期两年，包含子域名。
会话：加密的令牌，篡改会被检测。

举报页收集什么

公开举报页（openbait.com/report/你的品牌）只问一件事：被举报网站的地址。举报人如果希望在网站下线时收到通知，可以选填备注和邮箱。两者都是可选的，邮箱只用于这一次通知。

举报不需要账号。
提交时会运行机器人检测（Cloudflare Turnstile）。举报人的 IP 地址只用于这项检测和频率限制，不会随举报一起保存。
Web 服务器访问日志保留 180 天。

被举报的网址会发给谁

把网站报给能让它停下来的一方，正是这个产品的用途。所以被举报的网址按设计会离开我们的系统：

接收方类别	时机	发送内容
浏览器拦截名单与威胁情报服务	确认是钓鱼网站时	网址
托管商和域名注册商	仅在品牌确认后	网址、证据、被冒用的品牌名
反钓鱼协调机构	仅在品牌确认后	同上

每个案件具体发给谁、走哪条路径，由我们按案件判断，属于不公开的运营方法。成为客户后，你的每个案件的接收方都可以在控制台里看到。

举报以 OpenBait 固定的举报人身份（contact@openbait.com）发出，并注明代表品牌提交。品牌自己的域名不会作为发件人出现。没有品牌确认，不会向托管商或注册商发送任何内容。

子处理方

服务商	用途	所在地
XServer 株式会社	生产环境托管	日本
Cloudflare	DNS、CDN、DDoS 防护、机器人检测（Turnstile）、入站邮件转发	全球边缘节点
Brevo、Postmark	事务邮件	欧盟 / 美国
Stripe	支付	美国
Sentry	错误监控	美国
Google（Gemini API）	页面分析的 AI 推理	美国

AI 处理

页面分析使用 Google 的 Gemini API。发送的内容：域名、要比对的品牌名、截断后的页面文本和 HTML，某些情况下还有页面截图。根据 Google 的条款，发送给 API 的内容可能被用于改进 Google 的服务；我们只发送可疑页面的公开内容和要比对的品牌名。不会发送：账号信息、举报人邮箱、与你其他品牌有关的任何信息。AI 的分析结果只是判定依据之一，不是判定本身。

备份

数据库每天备份。保留期限和恢复流程在问卷中回答。

合同结束后的数据

关闭账户后 90 天内，我们会删除你组织的数据。备份中的副本会在此后 35 天内陆续清除。已经发给注册商和托管商的报告无法撤回。如需在删除前导出数据，请在关闭前联系我们。取消付费套餐不会关闭账户，工作区会转为 Free 套餐（见订阅与退款政策）。

代码如何检查

每次部署都会运行依赖包漏洞扫描。
定期进行内部安全审查，代码层面的问题会在生产环境修复。
尚未取得正式认证（ISO 27001、SOC 2、隐私标志）。个人数据按 GDPR 和日本《个人信息保护法》处理，可以签署 DPA。

出了问题怎么办

如果发生影响你组织数据的事件，我们会在发现后 72 小时内通知组织的所有者，说明发生了什么、影响范围和已采取的措施。

JavaScript SDK

SDK 是可选的——举报页不需要它，大多数品牌也不会安装。

装在你自己的网站上时，它会向我们发送页面信息（主机名、网址、标题、来源页）和浏览器信息；在提交登录表单等时候，还会发送设备指纹。它从不发送输入框里填写的内容。完整的采集项目列在隐私政策里。

装在你自己的登录页上时，不只是在仿冒站上，每一次正常登录也都会发送设备指纹。 如果你不想让你的客户承担这一点，就不要安装 SDK——举报页不需要它也能运作。这里不使用 Cookie，也不会用于广告或出售给第三方。

漏洞报告

欢迎报告漏洞。

联系方式：contact@openbait.com
确认收到：48 小时内
致谢：经你同意，在修复后的发布说明中致谢

合同相关

DPA、评估期间的 NDA、安全问卷的回答，请联系 contact@openbait.com。

最后更新：2026 年 9 月 28 日。