安全性
最後更新：2026-09-03
Appnaly 如何處理存取權限、權杖與你的資料。
唯讀範圍
我們僅要求一個 Analytics 範圍：analytics.readonly。本應用程式中不存在任何能在你的 Google Analytics 帳戶中建立、編輯或刪除內容的程式碼路徑。
登入與 Analytics 存取相互獨立
登入僅要求 openid、email 與 profile。Analytics 範圍會在之後於其獨立的同意畫面中要求，且僅在你按下「連接 Google Analytics」之後才會進行。
權杖靜態加密
更新權杖在寫入資料庫前會以 AES-256-GCM 加密。存取權杖僅存在於伺服器記憶體中。權杖絕不會傳送到瀏覽器、絕不會置於 URL 中，也絕不會寫入記錄檔。
租戶隔離
每一筆保存的資料列都帶有所屬使用者的 ID，每一次查詢都會依已驗證工作階段的使用者進行篩選。沒有任何 API 會接受來自用戶端的使用者 ID。
不保存終端使用者的原始事件
本服務僅保存彙總計數。你的應用程式使用者的個別事件絕不會進入我們的資料庫。
傳輸與標頭
正式環境流量僅使用 HTTPS，並對每個回應套用 HSTS、嚴格的 Content-Security-Policy、X-Content-Type-Options、Referrer-Policy 與 Permissions-Policy。工作階段 Cookie 為 HttpOnly、Secure 且 SameSite=Lax。
OAuth 強化
Analytics 連接流程採用帶 PKCE 的授權碼流程、繫結至加密 HttpOnly Cookie 的隨機 state 值、完全比對的重新導向 URI，以及回呼時的工作階段檢查。
中斷連接與刪除
中斷連接會於 Google 端撤銷授權並刪除已保存的權杖。刪除帳戶會移除我們保有的關於你的所有資料列。兩者皆可於「設定」中操作。
回報安全漏洞
請將詳細內容寄至 motionfit.fit@gmail.com。我們力求在數個工作天內確認收到回報。
聯絡我們
關於本頁面的問題：motionfit.fit@gmail.com