网站安全
网站如何保护账户和共享资源、您可以如何保障安全，以及如何报告可疑问题。
安全由网站和使用者共同维护。本页概述网站内置的保护措施、保护您的账户和共享目录的实用习惯，以及发现异常时应如何处理。
网站内置的保护措施
- 密码仅以 scrypt 哈希值保存，这是一种刻意放慢的不可逆方法，使被盗数据更难被还原。
- 密码通过表单提交，绝不会出现在页面地址、浏览器历史记录或共享链接中。
- 会话 Cookie 经过签名，并设置 HttpOnly 和 SameSite=Strict，脚本无法读取，其他网站也无法使用。
- 修改数据的请求必须来自本网站自己的页面，从而阻止跨站请求伪造。
- 严格的内容安全策略只允许属于本网站的脚本运行，降低被注入代码的风险。
- 公共文件夹只提供经批准的文件类型，并禁用文件夹列表。
- 受保护的产品、模型和目录在任何图片或文件地址发送到浏览器之前，都会先在服务器端进行检查。
保护账户
- 使用至少八个字符、且未在其他任何服务中使用过的密码。由几个互不相关的词组成的短语更容易记住，也更难被猜到。
- 可以考虑使用密码管理器，为每个网站设置唯一的密码。
- 使用共用或公共电脑后请退出登录，不要让共用浏览器记住您的密码。
- 保持浏览器和操作系统为最新版本。
共享受保护的目录和产品
部分资源仅供特定合作伙伴使用，其密码由 Duc Toan 另行提供。请仅与应当查看该资源的人共享链接和密码，并最好通过不同渠道发送，例如通过电子邮件发送链接、通过电话告知密码。
在输入密码的浏览器上，解锁最长持续 72 小时。查看权限不包括复制、发布或再分发图片、目录页面或 3D 模型的权限。如果您认为某个密码已被过度传播，请告知我们以便更换。
临时访问限制
为防止自动化复制，网站会在公开页面上监测通常与使用浏览器开发者工具相关的信号。如果这些信号持续一段时间，浏览器会被短暂限制，目前约为 15 分钟，并显示说明限制原因的页面。限制会自动结束，无需任何操作。
这些信号只是估计，在运行缓慢的设备上偶尔可能被误触发。如果您在正常浏览时受到限制，请等待页面显示的时间；若再次发生，请与我们联系。
加密连接
当网站在公开地址上发布后，请使用以 https 开头的地址，并查看浏览器中的锁形图标。这表示您的设备与网站之间传输的数据，包括在表单中输入的密码，都经过加密。如果浏览器提示连接不安全，请避免输入密码。
咖啡馆、酒店和机场的公共 Wi-Fi 虽然方便，但会与陌生人共用。如果必须在此类网络上登录，请确认使用的是安全地址，并在使用后退出登录。
独立区域，独立密码
网站有三种访问方式，各自拥有独立的密码和 Cookie：
- 客户账户，使用电子邮箱地址和密码登录；
- 受保护的产品和目录，使用 Duc Toan 提供的资源密码打开；
- 管理区，仅供 Duc Toan 管理员使用。
拥有一种访问权限并不意味着拥有另一种。客户账户不能解锁受保护的目录，解锁密码也不能访问账户。管理区登录在短时间内多次输错密码后，会暂时阻止继续尝试。
忘记密码时
网站没有自动重置密码的功能。请使用您账户所用的电子邮箱联系 Duc Toan。我们绝不会要求您告知旧密码；确认身份后，可以人工处理您的账户。对于受保护的产品和目录，请联系向您分享链接的 Duc Toan 人员。
您从网站保存的文件
下载的色板和变体编辑器中的截图，都是根据网站自身内容生成的图片。截图在您的浏览器中生成并保存到您的设备上，不会上传到任何地方。网站绝不会要求您安装软件、浏览器扩展或插件来查看产品、目录或 3D 模型。任何此类要求都应视为可疑。
识别可疑信息
Duc Toan 绝不会通过电子邮件、聊天或电话索要您的账户密码，也不会发送要求您在其他网站上登录的链接。输入密码前，请确认地址栏显示的是本网站。如果自称来自 Duc Toan 的信息要求更改付款方式或提供密码，请使用本网站公布的联系方式进行核实。
报告疑似问题
如果您发现安全问题，请通过联系页面告知我们，并提供：
- 页面地址以及大致的日期和时间；
- 您的浏览器和设备；
- 简要描述您看到的情况以及导致该情况的操作步骤。
请从截图中删除密码、Cookie 和无关的个人信息。如果您意外看到似乎属于隐私的信息，请停止操作，不要复制或分享，并报告该页面。请勿运行可能干扰服务的自动扫描或测试。
相关页面
