安全提醒

不要出借、转租、出售您的账户

出借、转租、出售账户的行为有可能导致您的账户被永久封禁。

我们建议您：

• 妥善保管您的账户信息
• 定期更换密码
• 不要与他人共享账户
• 若发现账户被盗用，请立即前往 个人中心 重置密码。

无论是您还是他人使用您的账户，一旦发现违规行为，我们将：

• 立即封禁相关账户
• 不予退还任何增值服务费用

请务必遵守服务条款，安全使用幻缘映射。

不要泄露您的账户访问密钥（账户 Token）

账户访问密钥可以用于操作对应用户的所有功能，包括但不限于添加、编辑、删除隧道等。

若您不慎泄露，请立即前往 个人中心 重置访问密钥。

不要泄露您的客户端鉴权密钥

客户端鉴权密钥可以在得知您的隧道 ID 时穿透任意服务，若此段时间内穿透了非法内容，其后果由您自行承担。
请您在大群内发送包含客户端鉴权密钥的图片前对相应的地方进行马赛克或模糊处理，避免带来不必要的麻烦。
若您不慎泄露，请立即前往 个人中心 重置。

分享隧道访问权限

账户 Token、客户端鉴权密钥和隧道访问密码用途不同。不要将账户 Token 或客户端鉴权密钥交给访问者，也不要将它们拼进授权链接。

如需让他人访问受保护的隧道，请在隧道详情中选择「管理授权 IP」，生成独立的一次性授权链接：

• 链接只对应当前隧道，有效期五分钟，只能领取一次；重新生成会使先前未使用的链接失效。
• 接收者无需登录，打开页面不会自动领取。确认后，授权的是服务端识别的当前公网 IP，不能指定其他 IP。
• 同一公网 IP 下的其他设备也可能获得访问权限。 请只在信任的网络中确认；切换网络后通常需要重新授权。
• 凭据读取后会立即从地址栏移除，不存入浏览器本地或会话存储。复制、转发链接会把凭据交给接收者，请通过可信渠道发送；关闭授权窗口后，面板会清除当前链接。
• 「撤销未使用链接」只阻止尚未领取的链接，不会移除已授权 IP。需要收回已领取的权限时，请在授权 IP 列表中撤销；节点缓存存在短暂刷新延迟。
• 链接过期、已使用或授权结果无法确认时，请联系隧道所有者重新生成；刷新领取页不会重放原凭据。

不同协议的保护边界

HTTP 请求可使用访问密码、TOTP 和按 IP 授权。HTTPS 的访问策略由配套 Frpc 的 https2http / https2https 插件在 TLS 解密后执行，并通过已认证的控制连接向 Frps 查询 IP 权限；请使用相互兼容的客户端和节点版本，查询失败、超时或身份不符时不会放行。

TCP 的非 HTTP 客户端不能显示网页验证页，可使用独立链接或手动 IP 授权。UDP 没有网页验证流程，只能通过链接或面板按 IP 授权。HTTP Basic Auth 不能替代 TCP/UDP 服务自身的认证。

HTTPS 证书与浏览器信任

平台不代签正式证书，不提供 ACME 或自动浏览器信任。HTTPS 使用用户自行上传、证书库或本地路径提供的证书；未配置时可由 Frpc 自签兜底。

证书库及 HTTPS 隧道详情会展示可获取的到期状态和绝对时间，临近到期（30 天内）与过期会给出提醒。自签证书不会被浏览器默认信任；有证书、能够建立加密连接，都不代表浏览器已信任该站点。 本地路径或 Frpc 自签证书的实际状态由客户端管理，面板无法获知时会显示说明或「未知」。

穿透安全提醒

若您穿透了如 MCSM、Lucky、DDNS-GO、宝塔、1Panel 等管理面板，请务必做好防护措施，使用安全系数高的密码！

不建议您穿透仅在前端校验密码的站点。请在服务端实施认证，并按协议配置隧道访问密码、TOTP、IP 授权或 HTTP Basic Auth，避免仅依赖前端隐藏内容。

若您穿透了数据库、Redis、SSH、FTP 等服务，请修改默认密码并选择 16 位以上的混合密码，避免被爆破造成数据泄露。