安全源于设计，而非清单

人们很容易把安全当作一个阶段：先把产品做出来，再去加固。我们认为这个顺序是反的。等到开始寻找漏洞时，架构早已决定了漏洞在哪里。因此在 Vexaro，安全属性优先，功能围绕它们来设计，而不是反过来。

默认不预设任何信任

在 Vexaro 中，任何东西都不会因为它在网络中的位置而被信任。每次会话都需要主机屏幕上的同意或其无人值守访问密码；每台设备都有自己的规则，决定谁可以连接、拥有哪些权限；无人值守访问还可以限定为 Vexaro ID 允许列表。正是这一点让其余部分变得可控：当每次会话都按主机的条件经过同样的检查时，您无需画出网络拓扑图，就能推断谁可以访问什么。

无需手动开启的加密

直连会话为端到端加密：加密边界是这两台电脑，而不是我们的基础设施。当网络环境迫使连接经由中继时，流量在经过 Vexaro 运营的中继传输过程中依然保持加密。无论哪种情况，都没有需要打开的开关：加密就是会话本来的工作方式。

最小权限与真正的审计记录

• 角色只授予完成工作所需的最小访问权限；每台设备都有自己的规则，规定谁可以对它进行无人值守访问、拥有哪些权限。
• 管理操作、会话和访问事件都会记入审计日志；在付费方案中，您可以导出并按自己的方式审查。
• 自 Team 方案起由管理员为整个组织开启的会话录制，能完整记录一次连接中发生了什么，而不只是证明发生过一次连接。

“访问受到控制”这一说法的价值，取决于您事后能否核实它。因此，日志是产品中不可或缺的一部分，而不是后来才加上的导出功能。

我们目前所处的阶段

安全源于设计是一项持续的工作，而我们正处于早期访问阶段。我们不会宣称自己尚未获得的认证，也不会为了显得规模更大而公布客户数量。我们要做的是：明确说出今天真实的情况，推进获得国际公认的认证，并在达成每个里程碑时公布进展。如果您正在进行供应商评估，我们的团队可以带您了解当前的安全概况及相关细节。

一项安全声明的价值，取决于能够核验它的审计日志。

从第一次提交起就为安全而设计，并不光鲜，也很少出现在演示中。但这正是两种产品的区别：一种之所以安全，是因为有人记得去检查；另一种之所以安全，是因为它很难不安全。我们希望运行的是后者，也希望您运行的是后者。