# 把安全与隐私说清楚

什么在保护你的邮箱、我们能看到什么和看不到什么、数据在哪里处理，以及如何报告问题。本页只是概览，以隐私政策为准。

最近核对：2026-11-10

## 传输加密

- **我们的站点**：官网、商店、网页邮箱和状态页全程使用 HTTPS。
- **邮件客户端**：我们为你的邮箱提供的 IMAP 和 SMTP 设置使用 TLS；日历和通讯录通过 HTTPS 同步（CalDAV 和 CardDAV）。
- **邮件服务器之间**：我们的邮件服务器通过 TLS 接收邮件，发布了强制（enforce）模式的 MTA-STS 策略，并发布了经 DNSSEC 签名的 DANE（TLSA）记录。会检查其中任何一项的发信服务器，只会通过加密连接把邮件投递到经过验证的服务器。

传输加密保护的是邮件在你的设备、我们的服务器和其他邮件服务器之间传输的过程。它不是端到端加密（见下文「我们不提供什么」）；邮件到达其他服务商之后如何保护，由对方决定。任何互联网传输都存在一定风险。

## 保护登录

- **两步验证**：可以在邮箱登录时再加一道身份验证器生成的验证码，并有恢复码应对设备丢失。它由邮件服务器本身强制执行，所以开启后，只凭邮箱密码在哪里都登录不了：网页邮箱不行，IMAP、SMTP、CalDAV 和 CardDAV 也不行。
- **应用专用密码**：每个邮件客户端使用单独的密码，可以按需限制为仅邮件或仅日历和通讯录，并且可以单独撤销，不必修改邮箱密码。
- **限制猜测**：兑换、登录与支付接口限制请求频率，商店账户的密码尝试还按账户限制次数，异常的兑换码猜测会被锁定。登录页面可能进行 Cloudflare Turnstile 人机验证，用来区分真人和自动程序。
- **商店账户**：账户密码只以单向哈希保存，我们看不到它。登录、注册和重设密码的链接 15 分钟内有效；修改账户密码会让其他浏览器全部退出登录。

开启方法见[两步验证与应用专用密码](https://abnormalhq.com/zh/help/two-step-verification/)。我们不会通过邮件、聊天等任何渠道索要你的密码、验证码或支付卡信息。

## 钓鱼提醒与病毒扫描

- **邮件上方的提醒**：当邮件冒充他人、来自仿冒域名、未通过发件人验证（SPF、DKIM、DMARC），或要求把回复发到别处时，网页邮箱会给出提醒；第一次给你写信的发件人也会注明。
- **远程图片**：邮件里的图片经由我们的图片代理加载，发件人看不到你的 IP 地址；垃圾邮件文件夹里的邮件不会自动加载图片，你也可以完全关闭自动加载。
- **病毒扫描**：收到的附件会先经过病毒扫描。网页邮箱会在邮件上显示扫描结果；被标记为感染的邮件，其附件不能打开、预览或转发。

没有哪种过滤能拦下一切。无论有没有提醒，对意料之外的链接和附件都请多加小心。

## 数据如何保存

- **邮件**：你的邮件、文件夹和标记保存在我们自建的 Stalwart 邮件服务器上。我们不会分析邮件内容用于广告，也不会出售。
- **密码**：邮箱密码在我们的管理系统中加密保存，而不是哈希保存，因为网页邮箱和邮箱管理需要用它登录邮件服务器。商店账户密码只以单向哈希保存。
- **敏感配置**：支付凭据、商户密钥等敏感配置加密保存。从其他服务商导入邮件期间，对方邮箱的密码加密保存，导入结束后即删除。
- **会话**：对于购买会话和商店账户会话，我们的数据库只保存你浏览器中令牌的摘要。
- **支付**：银行卡支付由 Stripe 处理，Credit 支付由 Linux DO Credit 处理。我们不会接触或保存银行卡号。

## 我们不提供什么

- **不提供端到端加密。**邮件以服务可以读取的形式保存在我们的邮件服务器上。正因如此，网页邮箱才能显示、搜索和过滤邮件；这也意味着邮件内容对服务本身并不保密。
- **不提供零访问加密。**我们的管理系统在技术上可以查看邮箱内容。我们只在以下情形访问：排查你的邮箱或系统故障、处理你本人提出的求助、处理滥用举报或安全事件、依法配合有权机关。查看、移动、删除邮件与发信等操作会记录在管理系统的操作日志中。
- **AI 功能会把内容发送给第三方。**使用这些功能时，相关的邮件或工单内容会发送给大模型服务商，见 [AI 功能会发送什么、发到哪里](https://abnormalhq.com/zh/help/ai-features/)。

如果你需要只有自己和收件人才能读到的内容，请在发送前自行加密。

## 数据在哪里处理

- **Cloudflare** 托管官网，并运行商店、开通页、网页邮箱与管理系统。
- **数据库服务商**（目前为 PlanetScale）保存账号、订单、兑换码、工单文字与设置等数据。
- **云主机服务商**承载我们自建的邮件服务器与邮件数据。
- **Stripe** 与 **Linux DO Credit** 处理你选择的支付方式。
- **大模型服务商**（目前为 DeepSeek）仅在使用 AI 功能时接收相关内容。

这些服务商可能位于中国大陆以外的地区，提供服务所必需的信息会因此传输并保存在境外。[隐私政策](https://abnormalhq.com/zh/privacy/)列出了全部服务商、各自接收的信息、信息保存期限以及你的权利。

## 报告安全问题

如果你认为在官网、商店、网页邮箱或邮件服务中发现了安全漏洞，请写信到 [support@abnormalhq.com](mailto:support@abnormalhq.com?subject=%E5%AE%89%E5%85%A8)，并在主题中注明「安全」。请说明发现了什么，以及如何复现。

- 测试时请不要访问、修改或删除不属于你的数据，也不要影响其他人使用服务。
- 报告中请不要包含密码、验证码或他人的个人信息。
- 如果怀疑自己的邮箱或账户被盗用，请立刻修改密码并写信给我们；也可以查看[服务状态页](https://console.abnormalhq.com/status)了解是否有正在处理的事件。

- [阅读隐私政策](https://abnormalhq.com/md/zh/privacy/)
- [前往帮助中心](https://abnormalhq.com/md/zh/help/)