安全
可以自行检验的安全。
Apertura 如何处理凭据、更新和 AI 请求，依据已发布的设计和隐私政策撰写。
凭据
令牌应保存在系统存储中。
macOS 钥匙串
会话令牌保存在 macOS 钥匙串中，而不是明文文件里。
Windows 凭据存储
Windows 使用其加密的凭据存储来保存会话令牌。
安全隔区绑定
如果 Mac 配有安全隔区（Secure Enclave），付费会话将绑定到该设备；私钥永远不会离开它。
单向指纹
只发送 SHA-256 设备指纹，绝不发送用于生成它的硬件数值。
更新
先签名，再安装。
macOS
Sparkle 在安装前会检查更新包的签名是否有效。
Windows
electron-updater 只有在签名校验通过后才会安装更新，并且不会静默降级。
AI 请求
只走可见的路径。
设备端
对话保留在你的设备上；模型文件在使用前会经过签名验证。
中继辅助
可见的对话以及你添加的附件会发送到 api.notch-os.com。提示词和回复不会写入数据库或日志。
管理员访问
后端管理访问是一个共享的运维 bearer 密钥，采用常量时间比较，并在重复失败后按 IP 锁定。未配置该密钥时，所有管理路由都返回 503，因此配置错误的部署是关闭的，而不是敞开的。没有按人分配的管理员账户，也没有基于密码的管理员登录，我们同样不声称存在我们这边谁做了什么操作的审计轨迹。