我们保存哪些数据

您的流量内容和访问的地址不会被记录。服务也并非完全无日志：为了维持网络、向您展示自己的用量并发现滥用，我们保留一部分运行记录。以下是准确清单，不作含糊表述。

会写入什么

每条隧道产生一对记录——会话开启与会话关闭。其中包含：

• 账户标识与会话标识。
• 连接所经过的节点。
• 您发起连接的 IP 地址。
• 会话的开始与结束时间。
• 上行与下行传输的字节数。
• 会话结束的原因。
• 与会话分开的还有：认证事件（成功或失败及来源 IP），以及网站 Web 服务器的访问日志，其中同样包含 IP 地址。

为什么

三件事，不多于此。统计——让您看到自己的用量和各节点负载，也让我们看清网络哪里容量不足。诊断——连接反复中断时，没有会话时间和节点就无从查起。反欺诈——把一个账户被转卖到上百台设备、或撞库尝试与正常使用区分开；没有 IP 地址，两者无法分辨。

保存多久

90 天。记录在存储层自动删除——由数据库自身的 TTL 规则执行，而不是靠一个可能被忘记运行的定时脚本。付款记录保存更久，因为税法如此要求；各类数据的完整保存期限见隐私政策。

谁可以查看

运维本服务的工程师，按工作需要访问。数据不出售、不提供给第三方。对政府机关，我们仅在具有法律约束力的请求下、且仅在我们持有的数据范围内作出回应：我们从不收集的数据，不会因为一纸请求而凭空出现。当前的 warrant canary 见隐私政策页面。

不会写入什么

以下几条我们按字面意思负责：

• 流量内容：隧道是加密的，我们在自己这一侧无法解密。
• 目的域名与地址：代码中存在记录它们的机制，默认关闭，且未在公共网络上启用。若将来确有必要，本页面会在它被打开之前先行修改。
• DNS 查询、浏览历史、消息与文件内容。
• 银行卡信息。

企业客户自有节点

企业客户可将自有节点接入网络，使员工流量始终不离开其基础设施。这类节点按其所有者的日志策略运行，而该策略可能与我们的不同：节点所有者有权在自己一侧启用目的地址记录。我们不替他们做这个决定，也无法访问其记录。客户端会显示某次连接正经由某组织的节点——在连接之前显示，而非之后。

实现方式

边缘节点不保存状态：它不写本地访问日志，只把上述运行事件发送到统一的统计存储。密钥会轮换。节点上的操作系统日志记录的是基础设施事件，而非用户连接。

如何核对

您的用量与活动会话可在账户中查看——那正是这里所说的记录。与您账户关联的全部数据导出，可写信至 support@logrus.space 申请。