只放產品資訊
靜態 HTML 與 status endpoint；不放 OAuth client secret、token、private key 或車主資料，不提供登入表單。
MILEPOST / TRUST
資料與安全
MILEPOST 先以最小權限、read-only、可觀測的資料路徑為基礎。這份頁面是控制清單，不是第三方認證或安全保證；公開連線前仍須完成 Tesla 核准、真車驗收與人工風險審核。
邊界設計
授權與帳號邊界
state／PKCE、OIDC 驗證、加密 token envelope、signed session、撤銷與資料刪除路徑；旗標預設關閉。
裝置側保護
目前使用 Mock repository；live adapter 受 build gate 保護，正式 session provider 必須使用 Android Keystore，不把秘密打包進 APK。
資料新鮮度
HMAC normalized ingest、每 VIN 去重與排序、latest state、stale／offline 分類；Worker 不直接承接 Tesla mTLS／WebSocket。
目前開關狀態
| 能力 | 現況 | 開啟前的必要條件 |
|---|---|---|
| OAuth code exchange | 關閉 | Tesla application review、正式 secrets、OIDC／JWKS live validation。 |
| Account／vehicle API | 關閉 | identity binding、VIN ownership、region、撤銷與刪除實測。 |
| Fleet Telemetry ingest | 關閉 | reference server、TLS／protobuf、HMAC bridge、成本告警與真車測試。 |
| vehicle commands | 關閉 | virtual key、signed command、二次確認、idempotency、audit log、kill switch 與真車驗收全部完成。 |
安全工程原則
- Fail closed：設定缺少、授權失效、資料過期或來源不可信時拒絕繼續。
- 最小暴露：公開頁與 APK 不保存長期秘密；敏感資料留在受控 backend，並使用加密 envelope。
- 可追蹤：帳號、綁定、telemetry、撤銷與刪除都要有最小必要的 audit／observability，不把 token 寫入 logs。
- 成本可控：使用 telemetry 優先、snapshot cooldown、hourly budget 與告警，不用高頻輪詢假裝串流。
尚待人工核准
正式營運者與安全聯絡方式、Tesla scopes、Cloudflare billing threshold、資料保存天數、incident contact、Android production keystore／Play signing，以及法律頁的正式版本都必須由產品擁有人核准後才能宣稱 production ready。