安全与信任

后台页面和数据接口都由服务端检查登录、订阅和访问范围。企业成员只能进入已加入且订阅有效的企业空间；仅查看成员不能修改接入、上传记录或执行核验。平台跨账户管理仅向 Admin 开放。

企业负责人可以撤回成员访问权限。请定期检查成员名单；不要用共享登录账户代替成员邀请。

采集凭证管理、试点身份登记和发布钱包操作限账户负责人或管理员。普通运营成员可以处理授权范围内的业务，但不能更换这些身份。敏感导出和凭证操作记录可在电站接入页面查看。

每个采集凭证在服务器上绑定一个账户和一座电站，上传方不能自行指定其他数据归属。凭证有效期为 90 天，生成替代凭证会停用旧凭证。平台保存凭证校验摘要与现场签名公钥，不保存现场签名私钥。

更新后的现场采集器对每次上传和心跳签名，绑定请求内容、接口、时间和一次性编号。无签名、签名不匹配、超时或重放的请求会被拒绝。旧凭证需要负责人绑定现场公钥并轮换后才能继续上传。

将采集凭证放在现场环境配置中，限制可以读取它的人。凭证泄露时应先停用或轮换，再检查相关上传记录。企业成员被移除后，如其曾持有现场凭证，也应评估是否需要轮换。

采集接口校验电表、时间区间、数据范围和字段。相同内容的重传不会重复累计电量；同一编号或时段出现不同内容时会报冲突，原记录保留。迟到记录可以补全对应汇总。

服务证明保留版本、签名与操作历史。更正应遵循工作台的更正流程，不能通过直接改写旧文件来让历史结果看起来从未变化。

上传文件和归档证明以加密形式保存，下载前核对账户权限。链上仅发布记录引用、版本及摘要；原始曲线、合同和个人信息不随该存证上链。分享页面只展示负责人确认的摘要，分享链接可以到期或撤销。

记录引用和摘要不等于完全匿名；钱包、时间和金额可能被关联分析。已公开的链上信息不能通过删除平台文件撤回。导出文件交给接收方后，也无法保证收回其副本。

• 使用准确时钟和正确计量单位，核对电表与实际接线边界。
• 为采集器设置开机启动、异常重启、日志和磁盘监测，并保留原始设备记录。
• 持续监测凭证有效期、网络连通和采集延迟。浏览器中的刷新只是更新显示，不是现场采集的运行条件。
• 不关闭或替代 BMS、PCS 等设备原有的安全保护。

当前页面不宣称取得 ISO 27001、SOC 2 或其他第三方安全认证，也不承诺绝对安全。存证可以帮助检查版本是否变化，但无法替代真实设备身份、现场校准和独立审核。

发现异常时，先保存发生时间、受影响账户和必要的脱敏记录，通过正式方案中确认的联系渠道报告。公开安全联系邮箱和漏洞奖励计划尚未公布，请勿上传私钥或其他客户的数据来演示问题。