免费公测与未来收费门禁

状态：本地原型允许施工；面向公众的生产公测保持阻止。本文是产品检查表，不替代正式的安全、运营或专业意见。

门禁不是展示用清单：普通账户的新配对创建和 daemon 认领都会在 D1 写入条件中重新检查全部必需 P0，缺行或证据不完整时 fail closed。管理员明确签发的有效闭测邀请可在小范围测试中继续使用；P0 回滚或邀请撤销不会自动断开既有主机。

P0：未通过不得开放免费公测

门禁	当前	完成证据
sealed 命令与附件端到端实证	阻止	在真实中继覆盖上传、重试、恢复和下载；流量、数据库、日志、追踪和备份均不出现应用明文或可用解密钥
到期操作边界	阻止	Cloud 控制面已用矩阵与数据库回归证明：资格变化阻止新配对/未完成认领，保留主动撤销；仍需在真实 Relay 验证稳定端点重连、重放、会话 interrupt/cancel、授权快照过期和硬到期行为
租户隔离和生命周期	阻止	相似租户 ID 的域名、令牌、卷、备份、恢复、删除和失败重试全部 fail closed
主机配对认领安全	阻止	本地 claim、一次性码摘要、限速、尝试预算、过期/重放拒绝、撤销及不落命令历史的 Windows/Linux 引导已实现；仍需真实 daemon/生产 D1 并发实证与异常告警后才能通过
国内个人用户身份	阻止	选择并实测公开登录、账户恢复、管理员身份和退出路径；当前 Sites / ChatGPT 身份只用于闭测施工
免费公测主体、域名与备案路径	阻止	免费测试以什么身份提供、部署/接入地、域名和所需备案路径已有可执行结论
隐私、保存和跨境	阻止	表级数据清单、处理目的、用户控制、已审计技术到期清理及每日自动调度已完成；仍需托管环境首轮实证、最终保存期、受托方、删除/备份擦除和境内/跨境事实核查

备份/恢复演练，记录实际 RPO/RTO；
区域 Relay 池中每租户 Engine 的空闲/活跃 CPU、内存、SQLite、附件、Push、流量和支持工时测量；
公测容量、通知节奏和反滥用限制；
主机恢复、停用、身份丢失后重装、凭据轮换、安全复制式注册引导和 fail-closed 下载清单已实现；扩大公测前发布最低 v0.2.6 兼容包、配置实测 SHA-256、完成 Windows 发布者代码签名，并补真实安装升级、注册响应丢失和生产 D1 并发演练；
Cloud 控制平面 JSON 导出、可撤回注销申请、不可撤回 Purge 状态机、Relay 卷/附件/备份逻辑删除和最小完成摘要已实现；仍需真实托管存储演练、保留例外、最终账户身份清除、物理生命周期证据和身份防重建；
公开服务状态页、手工故障公告/恢复说明、控制台提醒，以及站内用户反馈/管理员回复闭环已实现；安全事件分级、自动告警、外部通知和值守升级仍待完成；
PWA 浏览器响应头基线与无远程第三方脚本已实现；仍需 nonce/hash 严格 CSP、构建来源与哈希、依赖锁定、服务工作者回滚和发布 provenance；
构建工具链审计：生产依赖审计归零，受信任源码构建不处理用户提供的非可信图片。

这些项目不阻塞当前免费测试，但没有完成前不得开放任何报价、订单或收款入口：