隐私政策
最后更新：2026 年 10 月 8 日
本政策说明 NepBox（www.nepbox.com、api.nepbox.com）会收集哪些信息、如何使用、保存多久，以及你可以如何管理这些信息。
一、我们收集哪些信息
| 类别 | 具体内容 | 来源 |
|---|---|---|
| 账号信息 | Google 用户 ID、邮箱、昵称、头像 URL | 你在 Google 授权页同意后由 Google 提供 |
| 网络地址 | 访问控制台或更新接口时的来源 IP | Cloudflare 请求头 |
| 服务数据 | 子域名、A/AAAA 记录内容、更新令牌、变更记录（含变更前后的地址与来源 IP） | 你在使用服务时产生 |
| 显示偏好 | 亮色 / 暗色主题 | 仅保存在浏览器的 localStorage，不会上传 |
| 通知绑定 | Telegram 用户 ID 与用户名（仅在你主动绑定后保存） | 你在 Telegram 中点「开始」授权后由 Telegram 提供 |
我们不会、也不需要你的密码。本服务不接入广告、统计或行为追踪类第三方脚本。
二、信息用途
- 识别你的身份并维持登录状态；
- 提供 DDNS 功能：把更新请求中的地址写入对应的 DNS 记录；
- 发送变更通知：在你绑定 Telegram 并开启通知后，把子域名地址的变更发送到你的 Telegram 账号；
- 安全与防滥用：限速、识别异常请求、处理滥用举报、排查故障。
三、Cookie
本服务只使用必要 Cookie：
| 名称 | 用途 | 有效期 |
|---|---|---|
session_token |
维持登录状态（HttpOnly，仅用于 api.nepbox.com） | 30 天 |
oauth_state |
防止登录流程被跨站伪造 | 10 分钟 |
因为不使用任何广告或统计 Cookie，所以本站没有 Cookie 同意弹窗。
四、数据的存储与保留
- 数据保存在 Cloudflare 的 Workers 与 D1 数据库中，可能位于中国大陆以外的数据中心；
- 会话记录在 30 天后失效；
- 变更记录每个域名只保留最近 20 条，超出后自动删除；
- Telegram 绑定信息一直保存到你解绑或删除账号；
- Cloudflare 侧的请求日志按 Cloudflare 自身的默认保留期保存，我们无法在此之前删除；
- 删除账号会级联删除你的账号、子域名、DNS 记录与变更记录，并移除 Telegram 绑定，同时从 Cloudflare 移除对应解析。
五、第三方
- Cloudflare：DNS 托管、Worker 运行、D1 存储与请求日志；
- Google：账号登录（OAuth）；
- Telegram：发送变更通知（仅在你绑定后，且只发送通知内容本身）。
我们不会出售或出租你的个人信息，也不会将 Google 用户数据用于广告。除法律要求，或为处理滥用与安全事件所必需外，不会向其他第三方提供。
六、数据安全
- 更新令牌使用密码学安全随机数生成；会话令牌只以 SHA-256 摘要形式存储，原始值仅存在于你的浏览器 Cookie；
- 全站强制 HTTPS，接口带有 CSRF 与频率限制防护。
请注意：更新令牌位于更新 URL 的查询参数中，可能被记录在中间设备或 Cloudflare 的请求日志里。请像对待密码一样保管它，怀疑泄露时立即在控制台重置。
七、你的权利
- 在「用户信息」页查看与修改昵称；
- 在「用户信息」页绑定 / 解绑 Telegram、开关 IP 变更通知；
- 在控制台查看、修改、删除你的子域名与 DNS 记录；
- 随时删除账号以清除全部数据；
- 如需其他协助（例如导出数据或更正信息），请联系 support@nepbox.com。
八、未成年人
本服务不面向 14 周岁以下的儿童。若你是未成年人，请在监护人同意并指导下使用。
九、政策更新
本政策可能更新，更新后会在本页顶部标注日期；涉及重大变更时会在页面或更新日志中提示。