端到端加密存储
激活码、授权文件、合同金额与联系人邮箱均以密文入库，数据库被拖走也无法解出明文。
安全不是一句承诺，是一层一层的架构。
许可证密钥是企业最不该外泄的一类数据——它一旦泄露，损失是直接的、可计价的。所以 Pistag 从第一行代码起就按「即便数据库被拖走也解不出明文」来设计。这一页把具体做法讲清楚，不用形容词。
01 / 加密一条密钥从录入到读取，
一条密钥从录入到读取，
要穿过几层。
下面是激活码从你输入到再次显示，实际经过的处理链路。
录入即加密，明文不落盘
AES-256
你提交的激活码、序列号、授权文件与合同金额，在写入数据库之前就已经是密文。数据库里不存在这些字段的明文形态。
每家企业一把独立密钥
Per-tenant DEK
每个租户拥有自己的数据加密密钥（DEK）。A 企业的密钥解不开 B 企业的数据，企业之间在密码学层面就是隔离的，而不是靠一句 WHERE tenant_id = ?。
明文只在内存中短暂存在
In-memory only
解密后的密钥仅在处理该次请求的内存里出现，响应结束即消失。不写日志、不进缓存文件、不落临时表。
列表默认遮蔽，查看需主动触发
Masked by default
任何列表页都不直接渲染完整密钥。要看完整值必须逐条点开，这一步是显式的、有成本的，不会因为误开一个页面就把全公司密钥暴露在屏幕上。
风险登录时，查看前还要再验一次
Step-up 2FA
若本次登录被判定为风险登录（新设备、异常地点等），查看密钥这类敏感操作会要求先通过邮箱二次验证。账号密码被盗，密钥仍然守得住。
每一次查看都留痕
Audit trail
谁、何时、看了哪一条，全部记入审计日志。留痕本身就是约束——知道有记录，内部滥用的动机会小很多。
企业独立密钥不是付费功能。
每租户独立 DEK 是所有账号——包括免费试用——共同的架构基础，不随套餐变化。付费套餐带来的是容量与三项企业级能力，而不是"更强的加密"。把安全做成付费墙，本身就是不安全的。
02 / 访问控制
常见做法，与我们的做法。
软件授权信息最常见的存放方式，和它们各自会出的问题。
常见做法
- 激活码存在共享表格里，链接一转发就等于全员可见
- 授权文件躺在某位管理员的邮箱和本地磁盘，人一离职就找不到
- 谁看过、谁改过无从查证，出事只能靠回忆
- 删错一行就是永久丢失，没有回收站
- 续费日期靠记忆或日历提醒，漏一次就停服
- 员工离职后账号与席位继续在付费，没人回收
Pistag 的做法
- 密钥以密文入库，列表默认遮蔽，查看需显式触发
- 授权集中在企业工作区，归属与分配对象始终明确
- 操作全程留痕且不可篡改，可按时间与对象追溯
- 不做物理删除，先进回收站，支持一键恢复
- 到期前站内信与邮件双通道主动提醒
- 删除员工即回收席位，并明确告知回收了几个
03 / 安全承诺
安全，是每一个细节的总和。
从密钥的存储、访问到销毁，每一步都为「只有你能看见」而设计。
企业独立密钥
每家企业拥有独立的数据加密密钥（DEK），企业之间数据在密码学层面严格隔离，互不可见。
零信任访问控制
异常登录自动风险评分，查看密钥等敏感操作触发邮箱二次验证，账号被盗也守得住。
完整审计留痕
谁、何时、对哪条数据做了什么，全程记录且不可篡改，企业版可导出用于合规归档。
删除即回收，可恢复
任何数据都不做物理删除，先进回收站、支持一键恢复，误删不再是灾难。
受信任设备
常用设备可标记为受信任，避免反复验证；同时保留随时撤销的能力，设备丢失时立即失效。
企业专属通道
企业版可绑定自有 SMTP 与阿里云私有对象存储（OSS），品牌邮件与私密文件落在你自己的地盘。
权限分级
安全策略仅企业所有者与管理员可修改，其他角色为只读，避免策略被随意放宽。
注销即彻底销毁
企业注销到期执行时，数据与该企业的加密密钥一并删除，此后即便在备份中也无法再解密。
04 / 数据归属
数据是你的，走的时候带得走、删得掉。
能否体面地离开，是判断一个平台是否值得信任的可靠标准。
随时导出
Export
资产、许可证、合同与员工授权数据可导出；企业版还可导出审计日志用于合规归档。
注销有反悔期
Grace period
提交注销后进入反悔期，期间随时可自行撤销，不会因为一次误操作就失去数据。
销毁留下凭据
Report
销毁完成后，业务数据已清空，但全过程留痕与销毁报告保留下来——那是事后唯一可查的凭据。
有效期到了也不锁你的数据
No hostage
会员过期只限制「新增」，已有数据仍可查看、编辑与导出。我们不用扣留数据来促成续费。
STILL HAVE QUESTIONS
关于安全，欢迎问到底。
安全设计上的疑问、合规材料需求，或希望我们说明某一处的具体实现，都可以开一张工单。答不上来的地方，我们会承认。