数据的去向，应当清楚。

这份说明适用于什么

本页说明 Xingdu Cloud、官网及开源软件涉及的数据处理，更新于 2026 年 9 月 29 日。Cloud 的数据问题请联系 info@xingdu.app；自托管实例由各自部署者负责，部署位置、日志、备份和保留期限可能不同。

如需了解 Cloud 的数据处理地区、服务商、数据保留或删除安排，请联系 info@xingdu.app。自托管实例的邮件与第三方登录由部署者配置，数据请求也应联系该实例部署者。

控制台处理的数据

邮箱注册保存邮箱、验证时间和密码哈希；已有用户名账号仍可登录。通过 Google / GitHub 创建的账号保存该服务的用户标识与返回的已验证邮箱，不会获得你的第三方账号密码。验证完成前只保存限时注册挑战，不创建可登录账户。组织名称、成员关系、角色、邀请状态，以及你添加的服务器地址、SSH 用户、端口、标签和备注会保存在该实例的数据库中。

Agent 上报主机名、系统类型、架构、版本、运行时间、CPU 核数、内存与负载，用于显示机器状态。当前探针不采集文件内容、环境变量或进程列表。

SSH 密码、私钥与机器身份

主动安装 Agent 无需把 SSH 凭据交给控制端。选择 SSH 安装时，密码、私钥和私钥口令会由控制端处理，用于连接你指定的机器。

任务凭据以 AES-256-GCM 加密保存，任务完成、失败、取消或过期后清除任务中的密文；自动过期清理需要任务服务正常运行。你也可以明确选择长期加密保存，并在控制台删除长期副本。

加密密钥由部署者保管，控制端执行 SSH 安装时需要解密凭据。这是静态存储加密，不是对服务端不可见的端到端加密。每台 Agent 另有独立身份，数据库保存其摘要。

协议证书与连接凭据

创建协议部署时，控制端处理你提供的 TLS 证书与私钥，并生成客户端认证凭据。敏感配置采用 AES-256-GCM 加密保存，绑定所属组织、机器与部署，交付给授权的托管 Agent 用于运行服务。

部署列表不返回凭据。只有组织所有者或管理员主动查看连接信息时，才返回客户端认证凭据及公开证书，并记录审计；TLS 私钥不回显。机器上的服务配置仍需包含运行所需的密钥，并以受限权限保存。

当前生成的协议运行时配置禁用流量日志。机器心跳、部署任务结果与审计事件仍会保存；这不代替对实际操作系统、代理或云平台日志配置的检查。

Cookie、访问日志与第三方

控制台使用必要的 xingdu_session Cookie 维持登录，会话有效期为 24 小时，并设置 HttpOnly 与 SameSite 限制。是否使用 Secure 属性取决于部署配置；公网部署应使用 HTTPS。退出登录会撤销对应会话并清除 Cookie。

官网配置 Google Analytics 4 后，访问公开页面时会自动加载统计，使用 Cookie 和浏览器标识收集页面访问、访问时间、来源网站、浏览器与设备信息，以及控制台、价格和 GitHub 入口点击，用于了解访问情况并改进网站内容与体验。Google 会接收统计请求及 IP 地址等网络信息。我们在标签中关闭广告个性化和 Google signals，不主动上报账号、组织、服务器、SSH 凭据、节点密钥或订阅链接；登录、API 以及含邀请或认证回调信息的页面不加载统计。已登录控制台会记录固定页面名称和操作点击；组织及详情查询参数在上报前移除，不记录输入值、任意按钮文本或完整目标链接。公开页面仅允许已知 AI 来源的 utm_source 标记，查询参数在上报前移除，只记录固定的来源名称。你可以通过浏览器设置或拦截工具限制 Cookie 和统计请求。Web 服务器或部署平台仍可能记录访问日志。 统计还记录公开内容入口、套餐选择及页面滚动深度，用于分析内容和购买意向；入口点击不代表注册或支付成功。 了解 Google 如何处理合作伙伴网站的数据

Xingdu Cloud 使用 Resend 投递注册与找回密码验证码、安全通知、组织邀请和套餐通知。投递会向 Resend 提供收件邮箱及相应邮件内容，可能包含组织名称、邀请链接或套餐状态；不包含密码、SSH 凭据和节点私钥。验证码仅保存摘要。异步通知队列保存收件邮箱、通知内容与投递状态，投递服务运行时清理超过 30 天的记录；这不代表所有业务数据或服务商副本的保留期限。自托管实例由部署者配置邮件服务。

选择 Google 或 GitHub 登录、绑定时，浏览器会跳转至对应服务授权。第三方会处理该次访问和授权请求，星渡服务端会获取用于核验身份的用户标识与已验证邮箱。星渡不会请求访问代码仓库、联系人或云盘；用于身份核验的访问令牌不作为长期凭据保存。第三方提供的已验证邮箱与星渡账号的已验证邮箱一致时，会自动关联并登录已有账号，无需先手动绑定。仅用户名相同不会触发关联；已经关联的第三方身份仍以其稳定标识识别账号。

第三方授权流程使用短期安全状态与 Cookie 校验请求来源。解绑会移除星渡账号与第三方身份的关联，不会删除第三方账号，也不一定撤销第三方服务中的应用授权；你可以在对应服务的账号设置中撤销授权。至少需要保留一种星渡登录方式。

云端计费启用后，支付页面与账单管理由 Stripe 提供。星渡保存组织对应的 Stripe 客户、订阅标识、账期和状态，不保存完整银行卡号或安全码；银行卡信息直接交给 Stripe。星渡不会把机器地址、SSH 凭据或节点密钥发送给 Stripe。

启用社区规则集后，客户端会向规则托管服务请求下载和更新，托管方可接收到该请求的来源 IP 等网络信息。星渡不会为此主动发送你的客户端订阅链接或节点凭据。点击 GitHub 等外部链接后，适用对应网站的数据处理规则；请勿在公开 Issue 中提交凭据或私人服务器信息。

你的控制方式与删除边界

组织管理员可删除服务器资料、删除保存的 SSH 凭据、撤销邀请或机器接入，也可移除成员。普通成员可访问的数据取决于其组织角色。

删除保存的 SSH 凭据不取消已提交任务持有的临时副本；需要同时终止后续接入时，应撤销机器接入。撤销不会停止已部署的协议服务，也不会卸载机器上的软件；需要终止服务时，应先卸载并确认完成，再撤销接入。已发出的操作无法撤回。

在线数据删除不意味着备份中的历史副本立即消失，已记录的审计事件也可能继续保留。当前尚无账号和组织的一键删除功能。星渡相关数据咨询请通过下方邮箱联系，并说明请求类型和账号邮箱；请勿发送密码或密钥。自托管实例的数据查阅、删除与备份请求，请联系该实例部署者。