魔法链接邮件（默认）
输入您的电子邮件，点击链接即可登录。无需担心网络钓鱼、重复使用或在数据泄露中曝光的密码。这是新账户的默认登录方式，对大多数人来说，这也是他们唯一需要的方式。
一个身份，触达所有平台
大多数托管账号不过是控制面板附带数据库里的一个密码。而我们采用的是一套专属的身份系统——Keycloak，支持 OIDC 和 SAML 协议——它位于所有服务的核心前端：客户控制面板、员工管理后台、本公共网站及知识库，以及您的工单系统。只需登录一次，即可畅行于所有服务之中。
因为该身份层建立在开放标准而非专有登录系统之上，所以它和平台的其他所有组件一样是可以随心替换的。您的访问模型中没有任何部分被困在某个供应商的产品内部，并且您团队的身份验证也不依赖于我们必须绑定某个特定的供应商。这与我们应用于 CDN 账户、DNS 和支付服务商的无锁定原则完全相同。
登录页面已本地化，从网站跳转至登录界面时会自动携带您的语言首选项——因此，分布在不同国家的团队无需被迫使用全英文登录。
使用最适合您团队的方式登录
四种方法，全部一流，且支持按个人进行配置。没有人会被迫使用最弱的方案，因为那并非唯一的选择。
通行密钥 / WebAuthn
注册一个通行密钥（Touch ID、Face ID、Windows Hello 或 YubiKey 等硬件密钥），即可完全免密码登录。通行密钥与源地址绑定，因此仿冒的登录页面无法窃取它们。本平台接受 ES256 和 RS256 身份验证器，并优先使用用户验证。
社交登录
通过标准身份提供商连接使用 Google 登录，因此账户会继承 Google Workspace 已经强制执行的所有控制措施。其他提供商也通过相同方式连接——其中没有任何定制集成。
电子邮件和密码（备用）
为需要的人和脚本而保留，并执行切实的策略：至少十二个字符，不得包含您的用户名或电子邮件地址，最近三个密码不得重复，采用 Argon2 进行哈希处理。电子邮件地址在账户可用之前须先经过验证。
双重身份验证与暴力破解防御
双重身份验证是身份系统的一部分，而不是你购买的附加组件或在自己的网站上安装的插件。
- 通过任意标准身份验证应用实现的 TOTP 双重身份验证——每三十秒更新一次的六位数，采用与 Google Authenticator、1Password 和 Authy 相同的方案。企业可以通过策略强制实施，而无需寄希望于每个人的自觉。
- 通行密钥可以完全替代密码，而不是叠加在密码之上，从而从根本上移除了网络钓鱼者试图窃取的凭据。
- realm 级已启用暴力破解防护：屡次登录失败会触发递增的等待时间，最长可达十五分钟，从而使凭据撞库攻击停滞不前，而不会耗尽整个密码字典。这种锁定机制在设计上是临时的 —— 攻击者无法永久锁定真实客户的账户。
- 注册时的电子邮件地址通过由 ZeroBounce 支持的适配器进行验证：无法投递和无效的地址将被拒绝，而一次性邮箱、角色邮箱以及被标记为滥用风险的地址则会被标记。虚假或无法接收邮件的邮箱将无法注册账号，这也同时支持了试用期的防滥用和欺诈检查。
- 会话受到严格管控——访问令牌生命周期短，闲置会话会自动过期，且每个会话都有硬性的最长生存时间，因此即便在共用计算机上遗忘了浏览器，明天它也不是畅通无阻的。
面向企业和机构团队的 SAML SSO
如果您所在的组织已经运行了身份提供程序（Okta、Entra ID、Google Workspace 或任何支持 SAML 的系统），您可以将其连接起来，让您的团队成员使用现有的企业凭据登录 Zinn Digital®。您的团队无需管理第二个密码，也不会遗漏任何离职交接核对清单。
在代理商和分销商的规模下，这种情况尤为重要，因为员工离职是一个真正的安全事件。当有人离职并且你在目录中将其禁用时，你也禁用了他们进入你托管服务的途径。访问权限随着雇佣关系集中管理，而无需在十几个SaaS工具中到处追踪。
SAML 与其他所有机制并存，而非取而代之：外包人员依然可以通过限定权限角色的魔法链接（magic-link）账户登录，而正式员工则通过 SSO 进入。一个组织，一套权限模型，两个登录入口。
只授予工作所需权限的角色
访问权限限定在组织架构树中——从分销商到客户再到站点——并在数据库层面通过行级安全策略进行强制执行，而不仅仅是在应用层。跨租户访问不是靠要求人们遵守的政策来约束的，而是一个根本无法返回任何行的查询。四种客户角色涵盖了实际的职责分工。
所有者
完全控制组织及其子账户：创建下级组织、邀请和移除成员、分配角色、管理所有站点、处理账单与发票、管理 API 密钥以及读取审计日志。
账单管理员
账单、订阅、支付方式和套餐目录——仅此而已。您的财务人员或会计可以结清发票，而无需拥有接触、暂停或删除线上网站的权限。
开发人员
不含账单控制权限的站点与 API 访问：查看和配置站点、重启服务、清除缓存、管理 API 密钥以及处理工单。有意禁用了对支付方式、账单开具或套餐更改的访问权限。
只读
全组织仅查看权限——包括站点、账单、套餐、工单、翻译状态和审计日志。这是适合审计员、需要透明度的主管客户或入职第一周的新员工的理想角色。
API 密钥、令牌和 AI 连接
控制面板是入口之一。API、CLI、Terraform 提供程序和 MCP 服务器则是其他入口——它们都遵循相同的访问控制模型，因为不受范围限制的密钥会绕过你刚配置的所有角色。
组织
API 密钥是发给组织而非个人的，并且带有其自身的权限范围。请将其视为共享凭据：根据其用途命名，授予能正常工作的最小权限范围，并在创建者离职或调岗时进行轮换。
系统仅存储哈希值
原始密钥只在创建时显示给您一次。我们保存的是 SHA-256 哈希值以及用于查找的短前缀。我们无法再次向您展示密钥，并且数据库泄露也不会让攻击者获得可用的凭据。
已限定、可撤销、可观察
每个密钥都带有与角色所使用权限目录相同的精细化权限范围、记录了最后使用时间，并且在发现异常时可随时被彻底吊销。独立的沙盒密钥可用于测试 API，其背后不会产生真实的计费或资源配置。
AI工具在相同的规则下连接
MCP 服务器允许任何具备 MCP 功能的代理管理您的托管服务 — 它通过 OAuth 2.1 进行身份验证，权限范围限定在您的组织及其 RBAC 权限内，配备支持按工具撤销的令牌、破坏性操作确认机制、消费上限和完整的审计日志。连接 AI 助手并不意味着将一切的控制权拱手相让。
审计日志及对其的访问权限
每个特权操作都会写入一条只增不减的记录——记录操作者、操作内容、操作对象、支持证据以及源 IP 地址，并附带时间戳。这并不是为了调试方便，而是证据链。
- 所有者和只读角色可以直接读取审核日志，因此您组织内部的问责制无需向我们提交支持工单。
- 您对员工账户的访问权限受同一机制管辖：我们的员工分属于不同部门，拥有按模块、按操作划分的权限，因此客服人员只能看到工单和基本的修复操作，而无法查看您的账单配置或服务器集群。
- 敏感和破坏性的员工操作在执行之前可能需要进行二次身份验证或双人审批。
- 组织级别提供 IP 白名单功能，适用于希望在其他所有安全措施之外，将访问权限进一步缩小至已知网络的团队。
- 同样的审计跟踪、最小权限模型和多租户隔离构成了我们 SOC 2 和 ISO 27001 路线图的基础——这些证据从第一天起就在产生，而不是在后期重新构建。
常见问题
我非得用密码吗？
不，我们更希望您不要这样做。魔术链接电子邮件登录是默认方式，您可以注册通行密钥（Touch ID、Face ID、Windows Hello 或硬件密钥）并直接登录，而无需设置任何密码。电子邮件加密码仍可用作备用方案，要求至少十二个字符，不得重复使用最近三个密码，并采用 Argon2 哈希加密。
我可以为我的团队强制启用双重身份验证吗？
TOTP双因素身份验证已内置于身份层中，可以通过组织策略强制执行，而无需由每个成员自行选择启用。如果团队的设备支持通行密钥（Passkeys），它们将是更强大的选择，因为它们消除了攻击者可能进行网络钓鱼的密码。
我的团队中有人专门负责发票。我可以阻止他们操作网站吗？
可以。账单管理员角色仅授予查看发票、订阅、支付方式和套餐目录的权限，除此之外没有任何权限——无法查看、部署、重启、暂停或删除站点。反之亦然：开发人员角色管理站点和 API 访问权限，完全没有账单控制权。角色按组织分配，因此在一个组织中的角色不会授予对其他独立、无关的组织的访问权限——不过，父组织中的角色适用于其下级嵌套的组织。
如果我们的一个 API 密钥泄露了会怎么样？
从控制面板中吊销它，它就会立即停止生效。破坏范围仅限于该密钥原本能做到的事情，这就是为什么密钥带有细粒度的作用域并记录最后使用时间戳的原因——狭窄的作用域和可见的使用轨迹，是将泄露转变为可控事件而非全账户沦陷的关键。请注意，密钥是颁发给组织而非个人的，因此请将其视为共享凭据，并在人员变动时进行轮换。我们这端只存储密钥的哈希值，因此我们数据库发生泄露也不会产生可用的凭据。
我可以查看谁在我的账户中进行了哪些操作吗？
是。所有特权操作都会被写入只追加的审计日志中，其中包含执行者、操作、目标、支持凭证、源 IP 以及时间戳。所有者和只读角色可以直接读取它。您账户上的员工操作也会记录在同一轨迹中，而敏感或具破坏性的员工操作则可能需要先进行升级认证或双人批准。
我们已经在用 Okta / Entra ID 了。我们的团队可以用它登录吗？
可以——企业版和代理商账户支持 SAML SSO，因此您的员工可以使用现有的企业凭据进行身份验证，并且在您的目录中进行离职注销也会同时取消他们在此处的访问权限。您可以混合使用多种方法：为正式员工使用 SSO，为承包商使用限定范围的魔术链接账户，所有这些都在同一个权限模型内完成。
我从你们的 V1 平台迁移过来。我原来的密码会带过来吗？
不，密码在设计上不会被迁移。您的账户导入时没有密码，首次登录时您可以使用免密登录链接（magic-link）或在当前策略下设置一个新密码。将旧的密码哈希值迁移会把过去的弱点带入新系统，因此我们不会这样做。
我如何在不提供银行卡信息的情况下进行试用？
Footprint-Free 试用期为 14 天，无需绑定信用卡，最多可支持五个站点。在试用期间，您可以使用完整的身份层功能——通行密钥、双重认证、角色、API 密钥和审计日志均不会在付费套餐中受限。