合同条款，而不是自助页面上的一个勾选框
企业协议是谈出来的：覆盖跳转可用性的服务水平协议、附带最新次级处理方清单的数据处理协议、签约前的安全审查，以及从 5% 起谈的平台费，而不是照着公开价目表照单全收。域名、工作区和跟踪点击量都不设上限。
单点登录排在正式发布之后的路线图上，我们就是这么写的，而不是含糊暗示。如果身份联合对你们的部署是硬性要求，那它应当在签约之前就进入讨论和时间表——一个在这个问题上含糊其辞的供应商，在更难的问题上也会同样含糊。
- 针对跳转可用性的服务水平协议（SLA）
- 数据处理协议，以及公开的次级处理方清单
- 平台费从 5% 起，可协商
- 域名、工作区、链接和跟踪点击量均不限量
- 数据分析保留期最长 24 个月
- 单点登录在正式发布之后提供，明确标注为路线图事项
专属入口与可预期的路由
从 Scale 套餐起，你的域名会获得一个专属入口 IP，它带来三点具体好处：在无法展平 CNAME 的注册商那里，根域名也能正常工作；企业网络和合作伙伴可以把一个固定地址加入白名单；你的流量不再与无关租户共用同一个入口。
每个域名在开通时都要通过所有权验证，而且在全局范围内，一个主机名只属于一个租户，因此没有别人能够占用一个指向你品牌的主机名。证书续期在接入时就完成委托，之后无人值守自动运行，把那个经典的证书过期事故从你的日历上抹掉。域名生命周期的变化以 Webhook 形式发出，可以直接接入你自己的监控，而不是等客户先发现。
跳转在 edge 上由缓存响应，而不是查数据库，未命中的路径上还有负缓存和速率限制；跳转链路被刻意设计成与控制台相互独立：控制面出故障，链接照样解析。
数据处理方式，写得明明白白
点击事件不存储 IP 地址。独立访客数由每日轮换盐值的哈希推导而来，既无法反推出地址，也无法用来跨周追踪某个人；这项指标也如实标注为每日独立访客数，而不是包装成身份识别。跳转服务不设置任何跟踪 cookie，它唯一签发的 cookie，是用于解锁密码保护链接的那个短时效 cookie。
明细事件按合同约定的保留期存放，最长 24 个月，到期后自动删除。每条链接的按日汇总数据则永久保留，因此即便底层事件被删除，累计总量依然在。报表不做抽样：每一次非机器人点击都是一条被存下来的事件；机器人流量默认不计入报表，但绝不会被悄悄丢弃。
租户隔离在数据层强制执行：每一个涉及租户数据的查询都带有工作区和合作伙伴的过滤条件，并有专门的测试套件覆盖，而不是仅仅依赖界面设计得够小心。
跨业务单元的治理
结构随组织走：每个品牌、地区、产品线或代理商一个工作区，各自拥有独立的域名、链接、数据分析和成员。四种角色——所有者、管理员、成员和查看者——区分开发布链接的团队、只看结果的相关方，以及掌管套餐的那个人。API 密钥按工作区限定范围，带有明确的权限清单，可以设置有效期，也可以即时吊销；配合最后使用时间，还能找出那些谁都想不起来的集成。
每一次有实质意义的改动都会写入一条审计日志——目标地址修改、成员与角色变更、域名接入、密钥吊销——可以在控制台里查看，也可以通过 API 导出到你自己的日志平台。再加上域名和订阅事件的签名 Webhook，安全审查团队就足以自己找到答案，而不必来提工单。
常见问题
你们提供单点登录吗？
暂时还没有。它计划在正式发布之后推出，并被列为 Enterprise 的承诺事项，而不是当前已有的功能。在它上线之前，访问控制依靠按工作区划分的角色、限定范围的 API 密钥和审计日志；我们会给你一个时间表，而不是一句「也许」。
我们能在内部以自己的品牌运行这个平台吗？
可以。Enterprise 包含与所有合作伙伴套餐相同的白标能力：你的控制台域名、你的品牌形象、你的发信地址，以及 edge 为过期链接、受保护链接和未知链接渲染的品牌化页面。没有一处带着我们的名字。
数据是如何与其他客户隔离的？
每一个涉及租户数据的查询都带有在数据层强制执行的工作区和合作伙伴过滤条件；数据分析类查询必须把租户标识作为参数传入，而不是事后再补上。专属入口 IP 则在你的域名入口处再加一层网络层面的隔离。