总览
AiKey 主站和安装脚本只采集**完成产品改进所必需的最小遥测**。整套链路不要求邮箱、不要求注册、不绑账号。 本页面说明清楚:**采集了什么字段、为什么采、保存多久、你怎么重置或删除。** 如果对任何一条心存疑虑, 不要安装 — 安装行为本身视为知情同意。
安装匿名 ID (installer_id)
每次首装时, installer 在本机 ~/.aikey/identity (macOS / Linux) 或
%LOCALAPPDATA%\Aikey\identity (Windows) 写入一个 UUID v4 随机字符串, 称为
installer_id。文件权限 0600, 跨次安装持久。
- 不绑定邮箱、用户名、IP、hostname、机器序列号或任何自然人识别符。
- 用途仅两条:
- 独立安装数去重 — 区分"复装升级"和"新增独立用户"。
- 邀请归因切片 — 见下一节。
- 看板和分析从不展示明文
installer_id— 始终只展示MD5(installer_id)取前 6 位。
邀请归因 (inviter_id)
当你通过他人的邀请链接 (https://aikeylabs.com/i/inv/<code>) 安装时, 主站服务器会用
邀请码反查邀请人, 把邀请人的 installer_id 作为 inviter_id
附加到你的安装事件上。
- 邀请链接本身不暴露身份 — URL 里只有一个 8–12 位的随机邀请码, 反查在服务端完成。
inviter_id仍然是匿名 UUID, 看板同样只展示前 6 位 MD5 hash。- 邀请人发起人侧只能看到自己生成过的邀请短链 (前提是用户自己保存了链接); 服务端**不**提供任何"列出某 installer_id 的所有邀请历史"的接口, 邀请人 identity 即使外泄也无法被用于枚举其历史。
- 邀请关系不计入装入总数 — 它只是渠道维度之外的额外切片视图, 不存在双计。
如何重置或删除身份
想要彻底切换匿名身份, 删除以下文件即可:
rm ~/.aikey/identity
Remove-Item $env:LOCALAPPDATA\Aikey\identity
- 下一次运行 installer 或任何 AiKey 命令时, 会生成一个全新的
installer_id。 - 历史事件 (已发生的安装、点击) 仍以旧 ID 保留在主站数据库, 但和你**未来**的行为已经断开关联。
- 本期 MVP 不在 UI 里暴露重置按钮, 避免误操作; 命令行也不提供
aikey identity reset之类的快捷方式。
事件采集与保留
主站只收下面这几类事件:
| 事件 | 触发时机 | IP 保留 |
|---|---|---|
site.install.fetched | 点击安装链接 | raw_ip 30 天 |
site.install.started | 脚本开始执行 | raw_ip 30 天 |
site.install.succeeded / .failed | 安装结束 | raw_ip 30 天 |
site.invite.created / .clicked / .revoked | 邀请相关动作 | raw_ip 30 天 |
site.page.viewed / .cta_clicked | 主站浏览 | 入库即转 ip_region (国家级) |
- "身份相关"事件 (安装类、邀请类) 保留
raw_ip列 30 天, 仅用于事故响应 (异常灌水溯源), 由 DBA 走审计日志的 SQL 调阅, 看板**不**展示。 - 主站浏览类事件入库时直接把
raw_ip转成ip_region(例如CN/US), 原始 IP 不落库。 - 本期 v1 不实现自动数据清理 cron — 容量增长到一定程度会按 §8.4 的 90 天热 + 1 年归档策略落地, 届时本页同步更新。
看板的使用边界
所有邀请聚合 (Top N、漏斗、邀请人原始渠道 × 被邀请人 OS 矩阵) 仅用于内部趋势分析, 不作为奖励、结算、公开榜单或对外排名依据。当前防伪基线只防"无密钥外部伪造", 不防内部 密钥泄漏、不防 24 小时内重放、不防自己反复安装刷自己排名 —— 一旦未来引入激励, 会先叠加 nonce 表、 rate limit、bot 二次过滤再开放, 决策会同步到本页。
不采集什么
- 不读取你
~/.aikey目录下除identity外的任何文件 (Vault、配置、日志全在本机, 主站零知识)。 - 不收集 Provider API Key、OAuth Token、对话内容、token 用量明细 —— 主站服务器既不接收也不存储这些数据, 采集端点只接受上文枚举的安装 / 页面事件字段。
这些数据实际存在哪里, 取决于你用哪种部署形态 —— 见下一节。 - 不指纹 / 不识别浏览器 / 不投放第三方追踪脚本。
- 主站本身没有 Cookie 登录态;
/local-api/*用的 CSRF Cookie 只在你的浏览器和本机aikey web之间往返, 不出本机。
你的数据在哪：主站 ≠ 你的部署
上一节讲的是 aikeylabs.com 主站 —— 我们运营的服务器不接收你的密钥、对话内容和用量明细。 但「主站不采集」和「数据只在你本机」是两件事: AiKey 可以按不同形态部署, 数据落在哪由你或你所在的公司决定, 不由我们决定。
- 个人版 (Personal) —— 没有团队服务端。Vault、对话、用量都留在你本机, 不上传到任何服务器。
- 团队版 / 集群版 (Production / Cluster) —— 由你所在公司自行私有化部署的服务端接收用量, 以及在开启对话审计时接收对话内容。这些服务器归该公司所有、由该公司运维, AiKey 既不运营也无法访问。
其中需要单独说明的是对话审计 (Conversation Audit): 企业开启后, 经 AiKey 转发的对话 完整正文 (你的提问 + AI 回复) 会上传并留存在该企业自己的团队服务端, 管理员可按席位查看与导出, 查看 / 导出正文的操作会写入访问留痕。 产品内置的默认清理策略是保留约 12 个月, 但实际保留多久由该企业的部署与运维决定。 集群版在安装时默认开启; 个人版没有此功能, 团队版默认关闭。 如果你是企业员工, 是否开启由你所在公司决定 —— 请向你们的管理员确认。
合规检测 (敏感信息遮蔽) 的检测过程始终在你本机完成: 完整的对话正文不会因为检测而离开你的电脑。 这两条通道相互独立, 各自决定上传什么。
合规检测会上传什么 (团队版 / 集群版)
个人版: 命中的原文只留在你本机, 不上传。
团队版 / 集群版: 当你所在组织的合规隐私策略开启时, 命中处前后一小段原文 (最多 512 字节) 会随合规事件上传到 你所在公司自建的团队服务端, 管理员可以看到, 保留 90 天后自动清除; 合规事件本身 (类别 / 严重度 / 计数) 会继续保留。
关于默认值 —— 请注意这里区分两种情况: 全新安装的团队版 / 集群版出厂即开启, 也就是说新部署从第一天起就会上传命中原文片段; 而升级既有部署不会改变现状, 保持关闭, 需要管理员显式开启。 这个开关只能由服务端的组织策略控制, 员工机上没有任何本地设置可以打开它。
这两条通道共同成立的一点: 无论是命中原文片段还是对话完整正文, 都只会落在你所在公司自己的服务器上, 不会进入 AiKey 的任何服务器 —— AiKey (厂商) 既不运营也无法访问这些数据。 如果你是企业员工, 想知道贵司当前是否开启, 请向你们的管理员确认。
联系
发现采集行为与本页不一致, 或希望删除某个具体 installer_id 的历史事件,
请通过 GitHub aikeylabs 仓库
提 issue (附 hash 前 6 位即可, 不需要透露完整 ID)。我们会在工作日 5 个自然日内回复。