01
01 / 架构
静态优先的公开信息服务。
生产构建由 Cloudflare 交付静态页面与资源。当前版本不包含网站数据库、身份认证系统、结账、患者门户或通用联系表单后端。
信任 / 安全
通过更小的攻击面实现安全。
说明 Lucius 网站的安全架构、报告边界与负责任披露要求。
01 / legal
静态交付、无账户和无通用后端降低了暴露面，但并不意味着无需谨慎的安全实践。
安全声明
清晰条款，可核验边界。
02
02 / 浏览器与边缘控制
限制性响应头与最小浏览器权限。
生产响应使用内容类型保护、嵌入限制、来源信息控制、内容安全策略，以及禁用非必要设备能力的权限策略。Cloudflare 提供 TLS 交付、边缘缓存与流量安全控制。
03
03 / 数据最小化
少收集数据也是安全。
网站不使用账户、患者信息、在线支付、广告跟踪器或表单数据库。语言偏好保存在本地。减少存储的个人信息可以降低应用层遭受攻击后的影响。
04
04 / 报告安全问题
提供足够细节，但不要暴露数据。
在经核验的专用安全邮箱发布前，安全问题可通过“联系”路径发起。请提供受影响 URL、观察到的行为、日期、浏览器与安全复现步骤。不得访问、下载、保留或传输个人、机密或患者数据。
05
05 / 负责任测试
避免干扰、持久化与社会工程。
不得进行拒绝服务测试、大规模自动扫描、凭证攻击、持久化、恶意软件部署、社会工程或针对第三方服务的测试。如遇敏感信息，应立即停止测试，并在不包含该信息的情况下报告问题。
06
06 / 响应边界
依据证据与范围评估报告。
Lucius 可能请求澄清、复现问题、确定修复优先级并协调披露时间。本声明不构成漏洞奖励计划、付款义务，也不授权测试公开 Lucius 网站之外的系统。