SECURITY BY OWNERSHIP
資安與私有部署
自架意味著資料、金鑰與存取政策都由你掌控。imcore 的資安能力建立在真實功能之上，而非合規徽章。
資安不是徽章，是系統邊界
從網路到金鑰，從存取控制到稽核，每一層都能介接你現有的治理體系。
資料主權
自架部署，訊息、使用者資料與金鑰都留在你自己的伺服器 / VPC，不經過任何第三方。
傳輸與驗證
WSS / TLS 加密傳輸；JWT 驗證連線；WebSocket Origin 白名單檢查；API 速率限制；對外 Webhook 的 SSRF 防護。
存取控制與防竄改稽核
管理主控台提供 RBAC；管理操作寫入帶 HMAC 驗證鏈的稽核日誌，並透過資料庫不可變約束保護記錄，敏感欄位按規則遞迴遮蔽。
資料生命週期
按策略版本、對話或群組設定訊息保留期；到期訊息可封存到物件儲存與冷儲存層，封存帶檢查清單，並支援可復原刪除。
資料主體與法律保留
支援使用者完整資料匯出（含附件清單）、帳號刪除匿名化，以及按使用者、對話或群組限定範圍的 Legal Hold。
內容安全
內建內容審核與敏感詞過濾。
部署與可觀測性
支援內網 / 離線部署；Prometheus 指標（/metrics）與健康檢查（/healthz）便於介接你的監控體系。
備份與復原演練
提供 PostgreSQL / MySQL 備份復原演練工具並輸出 JSON RPO / RTO 證據；實際目標需在你的部署環境中定期演練確認。
合規立場
我們不預先附上第三方合規認證徽章。自架讓你在自己的合規邊界內運行——資料與金鑰歸你，稽核與存取政策由你掌控。
RESPONSIBLE DISCLOSURE
Found a security issue? Use the private channel
Report vulnerabilities by email rather than public issues. We acknowledge within 3 business days, aim for an initial assessment within 14 days, and ship fixes under coordinated disclosure with the release notes. The full policy is on the disclosure page.
BRING YOUR OWN MODEL
AI and your data
The server ships no telemetry or crash reporting and makes no unsolicited outbound calls. AI replies come from the model endpoint you configure (OpenAI-compatible API / Dify / Coze / your own webhook); conversation data lives only in your database and never reaches the vendor. Licenses verify locally — no online activation.