所有者
对组织及其子账户的完全控制权：创建子组织、邀请和移除成员、更改角色、管理 API 密钥、配置、重启、暂停和删除站点、管理账单和付款方式，以及查看审计日志。有两项内容被特意排除在外——关闭组织和发放退款是员工的操作权限，不属于客户角色。
四种角色，根据实际工作分工划分
访问权限并非单一的开/关切换。每个客户组织都自带四种角色，每种角色都是一组固定的细粒度 module.action 权限包 — 从而确保财务联系人绝不会接触服务器，开发者也绝不会看到发票。
账单管理器
仅限所有财务相关内容：发票、订阅、付款方式和方案目录，以及查看组织及其成员列表。完全无法访问站点 — 财务联系人或外部簿记员无法重启、暂停或删除任何内容。
开发者
无需涉及资金即可处理网站事务：查看和预配网站、重启服务、清除缓存、管理 API 密钥，以及发起或回复支持工单。无法查看账单、无法管理成员、无法暂停且无法删除——破坏性与商业性操作权限均保留在所有者手中。
只读
具有完整查看权限但无法进行任何更改——包括成员、站点、账单、套餐、工单、翻译状态和审计日志。适合客户利益相关者、内部审计员或仍处于熟悉阶段的新员工的角色。
契合您实际业务架构的子账户
租户架构是一棵树，而不是扁平列表。分销商组织位于其客户组织之上，而站点则位于这些客户组织之下。团队成员代表一种成员身份——一个用户、一个组织、一个角色——因此，无论是两人团队、管理一百个客户账户的代理商，还是在自有品牌下运营子账户的分销商，都由这同一个底层原语提供支持。
角色按组织授予，且执行也按组织进行。一个组织中的角色不会授予对另一个单独、无关组织的任何访问权限——承包商可以在同一个登录名下，于一个客户账户中担任“开发者”，并在第二个客户账户中拥有“只读”权限。不过，访问权限会在您自己的层级结构中向下传递：上级组织中的角色适用于嵌套在其下的组织，分销商和代理机构正是通过这种方式管理其客户的。
隔离是在数据库中强制执行的，而不仅仅是在应用程序代码中。Postgres 行级安全性将每个租户查询的范围限制在调用者的子树内，该子树之外的任何内容都会返回未找到而不是权限错误 — 因此平台甚至绝不会确认其他租户的组织或站点是否存在。
在每个表面具有相同的权限
角色并不仅仅是控制面板上的一项便利功能。进入平台的每一种途径都会解析至相同的权限密钥，因此绝不存在可以绕过您访问规则的后门。
仪表板
站点、账单、工单、公告、通知、API密钥和团队管理尽在一个界面中。该界面仅呈现已登录成员角色所允许的内容，因此不会向用户显示其无法使用的控制项。
公开 API 与 CLI
公开发布的 API 与仪表板所使用的引擎 API 完全相同。API 密钥按组织颁发，具有与 RBAC 权限绑定的细粒度作用域，而独立的沙盒与生产模式意味着您可以在不影响实际账单或资源配置的情况下测试集成。
Terraform 提供商
将站点、域名、DNS、邮箱和方案作为代码即基础设施进行管理，并运行 terraform apply 来配置主机托管 — 受与其他所有内容相同的权限范围约束。
MCP 服务器
连接 Claude Code、Cursor、ChatGPT、Claude Desktop 或任何支持 MCP 的工具。令牌的作用域限定于组织及其 RBAC 权限，可按工具撤销，并在执行破坏性操作时进行确认，同时具备支出上限和完整的审计跟踪。
密钥处理
系统仅存储每个 API 密钥的哈希值，绝不会存储原始密钥。密钥带有名称和可见前缀以便您加以区分，会记录上次使用时间，并且可以单独吊销而不会影响其余密钥。
单次登录，基于标准，通用于一切
身份管理基于 Keycloak 运行，因此身份验证是规范的 OIDC 和 SAML，而非硬拼凑在托管面板上的定制登录表单。
- 默认使用魔法链接邮箱登录，并提供邮箱和密码作为备选方案，以供偏好此方式的用户使用。
- 用于防钓鱼登录的通行密钥和 WebAuthn，以及通过策略向所有人强制实施的 TOTP 双重身份验证。
- 通过 Google、Microsoft、GitHub 及其他身份提供商进行社交登录。
- 面向企业和代理商客户的 SAML 单点登录，使团队访问权限与您现有的目录保持一致。
- 覆盖控制面板、管理员控制台、公开网站、知识库以及支持工单的单一会话——只需登录一次，无需登录五次。
- 每个注册电子邮箱都会在创建账户前经过验证，因此无法送达和无效的地址绝不会出现在您的团队中。
- 由于基于标准构建，身份提供商本身可以在无需重构其周边任何组件的情况下进行更换——这正是我们对所有其他供应商适用的无厂商锁定规则。
可直接提交给审计员的问责依据
每一项特权操作都会写入一条仅追加的审计记录：执行者是谁、他们做了什么、针对什么对象、支持性证据以及源IP地址。该日志采用仅追加模式——事件只会添加而不会就地编辑——并且在生产环境中按时间进行分区，以便在数据量增长时保持高效运行。
读取该日志本身就是一项权限。拥有者和只读成员均持有该权限，因此账户负责人和审计人员都无需更高权限即可查看完整历史记录。
围绕这一点的是大型团队所需的安全控制功能：会话策略、按组织划分的可选 IP 白名单，以及针对敏感操作的加强认证，从而确保仅凭一个活跃会话不足以执行关键操作。
权限如何随您的需求而扩展
权限目录是数据，而不是硬编码的逻辑——正因如此，无需重构平台即可对其进行扩展。
- 目前共有 35 个精细的 module.action 键，涵盖组织、成员、API 密钥、站点、账单、套餐、机群、工单、客户、滥用处理、营销活动、翻译和审计。
- 目录在每次部署时都会以幂等方式进行播种，如果某个角色引用了不存在的权限，验证就会直接报错中断——拼写错误绝不会悄无声息地导致什么都不授予。
- 新产品功能在端点发布之前会将其权限密钥添加到目录中，因此绝不会在功能上线后再事后补充访问控制。
- 将单个成员资格的范围缩小至特定网站或特定区域是一项计划中的改进，并非目前即可启用的功能。当前的模式是将这些网站置于子组织中，并在该组织中授予该人员角色——这可以通过租户树为您提供相同的隔离效果。
- API 密钥是在组织层级而非个人层级发放的，因此请将它们视为用于集成的服务凭据，并对人员访问使用成员资格。
常见问题
每个角色实际可以做什么？
所有者对组织及其子账户拥有完全控制权，包括成员、API 密钥、站点和付款方式。财务管理员可以查看发票、订阅、付款方式和计划，但无权访问站点。开发者可以管理站点和 API 密钥并处理工单，但无权控制账单或成员。只读用户可以查看成员、站点、账单、计划、工单和审核日志，但不能进行任何更改。
我可以向某人仅授予单个网站的访问权限吗？
目前尚不支持作为单站点设置 — 将单个成员资格限制在特定站点是计划中的优化项。目前您可以通过租户树实现相同的隔离效果：将这些站点放入子组织中，并在该处为该用户分配角色。由于角色是按组织授予的，因此该访问权限不会延伸至您账户中的任何其他内容。
API 密钥是否绑定到单个团队成员？
否 — API 密钥按组织颁发，具有绑定到相同 RBAC 权限的精细范围，并设有独立的 sandbox 和 live 模式。请将其用作集成、CI 或 Terraform 的服务凭据，而对人员则使用成员资格。系统仅存储每个密钥的哈希值，每个密钥都会记录其最后使用时间，并且任何密钥都可以单独撤销。
开发人员可以将更改推送到已上线的网站吗？
Developer角色涵盖查看和预配站点、重启服务、清除缓存、管理API密钥以及处理工单。该角色不具备对已上线站点的发布权限，因此如果您希望某人能够推送更改，则该访问权限需要属于所有者。角色是按组织划分的，因此您可以在其他账户上担任不同的角色。
贵方是否支持针对我们公司目录的 SSO？
是的。身份认证基于 Keycloak 运行并支持 OIDC 和 SAML，因此企业和代理商客户可以使用 SAML 单点登录，同时还支持魔术链接登录、电子邮件和密码、社交账号登录、通行密钥以及根据策略强制执行的 TOTP 双重身份验证。单次会话即可覆盖控制面板、公共站点、知识库以及支持工单。
我如何知道是谁进行了更改？
每一项特权操作都会被写入一个仅限追加的审计日志中，其中记录了操作者、操作、目标、支持性证据和 IP 地址。读取该日志本身就是一项独立的权限，由“所有者”和“只读”角色同时拥有，因此账户所有者和审计员可以查看相同的历史记录。
添加团队成员会改变我支付的费用吗？
方案是根据主机容量而非人数来定价的。例如，在 Footprint-Free 系列中，所有 42 个层级都享有完全相同的权益组合，唯一的区别在于所允许的网站数量。价格始终以您的货币从实时目录中提取并呈现，因此您在定价页面上看到的金额就是实际收取的费用。
我可以在确定订阅前先试用吗？
是的。Footprint-Free试用期为14天，无需信用卡信息，且最多支持5个站点，因此您可以在支付任何费用之前建立您的组织、邀请您的团队并针对实际工作测试各种角色。付费方案均提供30天退款保证。