# 安全检查清单

> 一份完整的清单应能对每一项回答“做了/未做/不适用”，不能只写“已注意安全”。

## 合规/来源
- [ ] 用途已确认，阅读过适用的监管规则与单位政策。
- [ ] 不用未经授权的跨境网络经营服务。
- [ ] 客户端下载来自官方域名/维护者 Releases，核对发布者与更新日期。
- [ ] 不安装破解版、不随意导入陌生根证书和 MDM 配置。

## 账号/设备
- [ ] 服务器控制台、重要业务账号开了 MFA/通行密钥。
- [ ] SSH 使用独立密钥并妥善保管私钥。
- [ ] 每台设备独立访问授权，知道如何撤销。
- [ ] 设备硬盘加密、屏幕锁、系统更新符合自身要求。
- [ ] 测试过关闭客户端后普通网络恢复。

## 网络/隐私
- [ ] 了解服务提供商可能看到的元数据与日志政策。
- [ ] 检查了 DNS、IPv6、分流和真正业务 App 的网络路径。
- [ ] 不认为海外 IP 自动意味着真实海外身份或平台使用资格。
- [ ] 已保存恢复计划，并演练过至少一次。

## 发生事故
- [ ] 知道撤销 SSH/API/VPN 密钥与修改密码的入口。
- [ ] 知道云厂商控制台救援及账单关闭入口。
- [ ] 有自己的日志脱敏规范；不会贴原始日志或扫码图。