数据安全吗

配图占位 · 待补

权限与数据流示意

一张权限与数据流示意图：WordPress 应用密码、GSC / GA4 只读、观象台加密存储、AI 请求四条线。

• 四个数据源 / 权限层级
• 标出加密存储与密钥分离
• 标出撤销入口

建议文件：docs-data-security-01.webp

四层数据，四种权限

层	观象台拿到什么	权限	怎么撤销
WordPress	页面、字段、正文、图片、分类	通过应用密码，受账号角色限制	删除应用密码 / 停用插件
GSC	搜索表现、查询、页面	只读（受限用户）	移除服务账号
GA4	会话、用户、落地页、转化	只读（查看者）	移除服务账号
AI	当前任务的页面内容、内容基石	发送给你配置的模型服务	清除 API Key / 停用 AI

WordPress 凭据怎么存

• 应用密码保存在这一站自己的 .secrets 目录，加密后落盘（AES-256-GCM），不是明文；
• 解密密钥单独存放，不在文档根目录，不能通过 URL 访问；
• 工作台不提供「重新显示完整密码」；AI Key 只回显后四位；
• 应用密码可以单独撤销，不影响你的管理员登录；
• 插件只暴露有限的 REST 端点，写操作要经过权限与站点锁检查。

Google 数据怎么授权

• GSC：把服务账号加为「受限」用户，只能读搜索表现；
• GA4：把服务账号加为「查看者」，只能读报表；
• 不需要你的 Google 账号密码；
• 不会修改你的 GSC 设置、GA4 配置或网站；
• 撤销：在 GSC 用户列表 / GA4 访问管理里删掉那一行，立即失效。

插件能看到什么

插件是工作台在客户站上的唯一通道。它读取：

• 页面 / 文章 / 分类 / 归档的公开信息；
• SEO 标题、描述、关键词；
• 正文、图片、内链、媒体库概况；
• 首页导航和主体结构。

它不读：

• 用户密码、订单、支付信息；
• 其它插件的私有配置；
• 服务器文件系统；
• 你未发布的草稿（除非你允许采集）。

AI 会收到什么

当你点生成时，工作台会把完成任务所需的内容发给你配置的模型服务（当前为 DeepSeek）：

• 当前页面的标题、正文片段、TDK、关键词；
• 内容基石中的业务背景；
• 同集群 / 目标页的标题与主词（做内链时）；
• 你的提示词（平台级，客户看不到）。

它不会发：WordPress 密码、应用密码、GSC / GA4 凭据、其它站的数据。

写站怎么留痕

• 每次写站都经过权限检查、站点锁、写入前留痕、写后回读；
• 工作明细记录谁、何时、改了哪一页的哪一项、旧值 → 新值；
• 内链 / 密度改写可以撤销；TDK / alt 界面不提供撤销，但可以重新生成或手动改；
• 失败会说明原因，不会把「已提交」当成「已写入」。

怎么降低风险

1. 给观象台单独建一个 WordPress 账号，只给必要角色；
2. 应用密码单独命名，定期轮换；
3. 不把 API Key 发到群里或写进文档；
4. 内容基石不写敏感信息；
5. 不用时撤销应用密码、移除 GSC / GA4 服务账号；
6. 定期看工作明细，确认没有异常写站；
7. 怀疑泄露时，先撤销凭据，再查日志。

数据归谁、能不能删

• 站点内容归你，观象台不主张所有权；
• 工作台保存的是审计与动作记录，用于复采和汇报；
• 不再合作时，可以停用插件、撤销应用密码、移除 Google 服务账号；
• 需要删除工作台侧的站点数据，联系服务人员处理。

常见问题

你们能看到我的 WordPress 管理员密码吗？

不能，也不需要。我们只要应用密码，它只能通过 REST API 使用，不能登录后台。

你们能改我的主题或服务器吗？

不能。工作台没有服务器文件权限，写站只通过插件的字段 / 正文接口。

GSC / GA4 授权会影响我的网站吗？

不会。那是 Google 侧的只读权限，不碰网站代码、不装插件、不改设置。

AI 会把我的内容公开吗？

不会由工作台公开。但内容会发送给模型服务商处理，具体以其条款为准。敏感内容不要放进 AI 上下文。