API 鉴权、数据加密与回调签名校验
安全在我们这里分两层：一层保护聊天内容，一层保护接口调用。前者依靠端到端加密，后者依靠鉴权、签名校验与频次限制；两层相互独立，可以分别配置。
本页说明这两层的具体做法，内容与官方文档保持一致。
第一层：聊天内容
消息在发出端加密、在接收端解密，中间环节不接触明文。基于这一层，我们还提供三项会话级控制：
- 阅后即焚：消息被查看后按设定销毁。
- 双向删除：双方记录同时移除，不留单边痕迹。
- 防截屏：限制通过系统截图复制对话内容。
群聊走的是另一条通道：群消息经 TLS 加密传输，单群可容纳 10 万人。云盘中的文件在上传时即完成高强度加密，容量与存放时间都不设上限。
第二层：接口调用
接口对外开放的部分，我们在入口处做了四道检查。任何一道不通过，请求都会被拒绝，并记录在调用日志中。
应用鉴权
每个接入方持有独立凭据，权限按应用分配，不共用同一把钥匙。
签名校验
回调数据附带签名，接收方校验通过后才处理，防止伪造请求。
频次限制
按应用设定调用上限，避免单个应用占满资源影响其他人。
调用留痕
每次调用记录时间、来源与结果，可按应用查询历史。
设备与登录
同一账号最多 5 台设备同时在线。新设备在非常用地点登录时，我们会发出提醒，你可以在设备清单中确认或直接远程下线。桌面端首次登录必须由手机端扫码，不存在仅凭密码进入桌面的路径。
应用锁属于本机防护：开启后，打开应用需要额外验证一步。它和端到端加密作用在不同层，一个管“谁能打开”，一个管“内容是否可读”。
可验证性
Ant Messenger 是开源聊天应用，加密与存储的实现可以在源码中直接查看。对我们公布的机制有疑问时，建议以源码和官方文档为准，而不是第三方转述。
安全相关问答
接口凭据泄露了怎么办？
立即在管理侧吊销该应用凭据并重新生成；旧凭据失效后，持有者的请求会被拒绝。
回调签名校验失败通常是什么原因？
多见于签名串拼接顺序不一致、时间戳超出允许范围，或请求体被中间层改写。建议先按官方文档核对拼接规则。
群消息是否也走端到端加密？
群消息经 TLS 加密传输；端到端加密用于会话消息。两种机制适用场景不同，官方文档中有分别说明。
开源是否意味着不安全？
相反，开源让实现可被检查。安全问题应当通过实现质量判断，而不是通过是否公开源码判断。