保护文件内容
文件端到端加密
WarpDirect 在支持的终端传输中使用 X25519 和 AES-256-GCM；WarpSync Shuttle 则暂存已加密的分块数据和 manifest。File Requests 只有在所有者通过 WarpSignet 启用端到端加密时，才会在上传前加密内容。WarpShare 的加密边界也取决于链接如何创建：当前通过浏览器上传并设置密码的链接，不会把解密所需的秘密交给服务；从终端创建的链接和旧版链接则采用不同的密钥流程。下文会分别说明。
WarpSend 安全性 · 已对照实现
端到端加密保护文件，WarpSignet 保护终端控制权
WarpSend 将两个安全问题分开处理：保护传输中的文件内容，以及判断终端可以执行哪些指令。支持的数据路径由端到端加密保护；敏感终端操作则由 WarpSignet 独立验证，授权不符就拒绝执行。
- 核查日期
- 密码技术
- AES-256-GCM · X25519 · Ed25519
- 核查人
- Charlie，共同创始人
两层独立保护
加密保护数据，WarpSignet 保护指令
安全传输通道并不代表云端发来的每条指令都已正确授权。WarpSend 将两者分开，让终端即使收到来自已验证服务的指令，仍能自行拒绝无效操作。
保护终端控制权
WarpSignet 终端授权
已加入的管理员浏览器会用 Ed25519 签署精确操作意图；明确签发、具有限定范围和期限的自动化 token 也可签署委派工作。终端先通过本地固定的组织公钥根验证，再读取、写入、同步或发送受保护数据。
云端边界
WarpSend 云端能看到什么，又无法暗中授权什么
WarpSend 仍需要操作元数据来验证账户、安排路由、显示状态并支持断点续传。我们不以笼统的“零知识”掩盖这一事实，而是清楚列出边界。
云端不会收到或控制
- 本页所列端到端加密路径中的明文文件内容
- 你的 WarpSignet 密码短语或解锁后的组织签名私钥
- 终端本地固定的信任根；云端无法静默替换或停用它
服务仍会处理
- 各流程所需的账户、终端、路由、文件名／路径／大小、上传者字段和交付状态元数据
- 加密 key slot、已签名授权记录、nonce、时间戳和防重放状态
- 暂存的文件内容：端到端加密路径保存加密分块和 manifest；未采用此保护的路径由服务管理文件内容
终端授权
WarpSignet 如何验证操作
WarpSignet 是 WarpSend 的终端授权模型。组织签名公钥根固定在每个已加入终端上，因此仅凭云端会话、任务记录、终端 token 或 MCP 凭据，无法创建或扩大受保护访问。
-
只在浏览器内解锁签名密钥
组织密钥只在已加入的管理员浏览器内解锁。密码短语不会发送到 WarpSend；云端存储的是加密 key slot，而不是密码短语或明文私钥。
-
签署精确操作意图
即时请求会绑定终端、协议、请求内容、时间戳和 nonce。持久传输、同步与 File Request 交付则签署精确的任务范围和 revision，包括适用的受保护来源与目的地。
-
在终端本地验证
终端根据本地固定的公钥根验证签名、范围、时效、revision 与防重放状态。缺失、过期、被更改、重放或无效的授权，都会在受保护访问前被拒绝。
-
自动化不中断，权限仍受限
重试、续传、离线交付和计划同步可在已接受的范围内继续。明确签发的自动化凭据具有范围和期限，无需对每个分块或每次执行重新人工确认。
数据流依据
四种传输方式，四条清晰标注的路径
以下流程根据当前的 WarpSend 终端、浏览器和云端实现整理。“控制平面”指身份验证、协调、策略和状态管理；“数据平面”则是实际承载文件内容的路径。
File Requests
通过云端收件箱收集文件，也可选择发送到电脑或 NAS。
- 步骤 1 上传者浏览器 选择文件，按照收件链接的访问和加密设置上传
- 步骤 2 上传准备 已启用端到端加密时，在浏览器中加密内容
- 步骤 3 WarpFabric 云端收件箱 保存提交的文件、上传进度和交付状态
- 步骤 4 收件所有者 下载文件或交付至所选终端；加密内容由接收端解密
云端中的文件内容
WarpFabric 会保存提交的文件，供所有者获取。如果收件链接已启用端到端加密，内容会在上传前加密。
加密边界
所有者可以在创建收件链接时选择端到端加密，此功能需要 WarpSignet。启用后，上传者浏览器通过 X25519 和 AES-256-GCM 加密内容，并保护供收件所有者使用的密钥；需要终端交付时，也会为授权终端封装密钥。未启用时，文件使用 TLS 和服务管理的存储、访问控制。收件链接的密码只控制访问，不会启用内容加密。
- 上传者不需要 WarpSend 账户或应用程序。
- 所有者可以下载提交的文件，或选择终端、Share 和文件夹来交付。
- 上传支持断点续传；如果已设置自动交付而所选终端离线，系统会等终端重新连接后再交付。
- 文件名、路径、大小、上传者填写的字段和交付状态，属于服务可见的操作元数据。
WarpDirect
在两个 WarpSend 终端之间直接传输文件。
- 步骤 1 源终端 读取已授权的 Share，准备加密传输帧
- 步骤 2 WarpSend 控制平面 验证两端身份并协调直接连接
- 步骤 3 点对点直接通道 不经云端暂存，直接承载文件内容
- 步骤 4 目标终端 验证并写入收到的文件
云端中的文件内容
成功建立直接通道时，文件内容不会存入云端对象存储。
加密边界
当前已配对的终端可以通过 X25519 派生传输密钥，再用 AES-256-GCM 加密数据帧；直接传输的通信层本身也会保护传输中的数据。
- 云端控制平面负责验证终端并协调连接；直接通道成功时，文件内容不会经过控制平面。
- 自动路由只会在系统明确判定直接连接失败后，改走支持断点续传的 Shuttle 路径。
- 如果用户明确指定 Tunnel，连接失败时会直接报错，不会在未告知的情况下切换路径。
- 分段进度和完整性检查支持传输中断后继续。
- 直接传输不设置单文件或单文件夹大小上限；WarpSend 已测试 500 GB 单文件，以及单次超过 50,000 个文件的传输。
- 传输前无需手动分割、压缩或另行整理文件。
WarpShare
只需上传一次，即可创建供接收者通过浏览器下载的链接。
- 步骤 1 发送者 从已授权的终端 Share 或浏览器选择内容
- 步骤 2 上传路径 根据设置先用链接密码加密，再上传到 WarpFabric
- 步骤 3 WarpFabric 与访问服务 保存对象并签发受控的下载权限
- 步骤 4 接收者浏览器 下载文件；如果链接受密码保护，则在本地派生密钥并解密
云端中的文件内容
链接中的文件内容会存放在 WarpFabric 托管存储层，因此上传完成后，发送终端即可离线。
加密边界
当前设置密码的浏览器上传采用 v2 密钥方式：上传前用 AES-256-GCM 加密，接收者在浏览器中解密，服务只会收到密码验证值。从终端创建的链接和旧版 v1 链接也可以加密内容，但密码或密钥材料会经过服务，因此保护边界不同。未设置密码的链接使用 TLS 和服务管理的存储、访问控制。
- 接收者不需要 WarpSend 账户或应用程序。
- 文件暂存在 WarpFabric 托管存储层，因此发送设备离线后，下载链接仍可使用。
- 大型对象的上传和下载采用 multipart／range 流程，并支持断点续传。
- 密码保护是可选设置；加密边界也取决于文件来自浏览器上传还是终端，以及链接使用的密钥方式。
- 免费套餐的链接上线保留 7 天；付费套餐在创建时可选到 90 天，发出后也还能调整。时间到文件就会被移除。
- 同一链接可以下载多次，不会按下载次数另行收费。
WarpSync
让指定文件夹在不同终端之间保持同步。
- 步骤 1 源端扫描器 创建 manifest 并找出发生变化的内容
- 步骤 2 所选路径 使用直接 Tunnel，或为 Shuttle 加密分段数据和 manifest
- 步骤 3 WarpFabric（仅 Shuttle） 保存已加密、采用内容寻址的分段数据和 manifest
- 步骤 4 目标终端 获取缺少的分段数据，解密、验证并应用变更
云端中的文件内容
Tunnel 不会暂存文件内容；Shuttle 会将已加密的分段数据和 manifest 存入 WarpFabric 托管暂存层。
加密边界
Shuttle 路径会派生终端配对密钥，加密内容寻址的分段数据和 manifest，再由接收终端解密并重建变更内容。
- 同步引擎会扫描指定 Share、计算变更集，只传输需要的数据。
- Tunnel 是终端间直接路径；Shuttle 则适合偏好或必须通过云端暂存的网络环境。
- Shuttle 存放在云端的 manifest 和分段数据均已加密，并由接收终端在本地应用。
- 系统会先组装临时文件，再重命名到正确位置，减少不完整文件暴露的机会。
- 同步配对可以在支持的终端之间，自动执行单向或双向文件夹流程。
- 计划任务和持续同步可以在中断后继续，运行状态会记录在控制平面。
安全性 FAQ
团队信任 WarpSend 前常问的问题
以下答案同样遵守上方实现核查所列的各路径安全边界。
WarpSend 有端到端加密吗？
上文所述、支持端到端加密的 WarpDirect 传输和 WarpSync Shuttle 内容具有端到端加密。File Requests 可以选择启用端到端加密，但需要 WarpSignet。当前通过浏览器上传并设置密码的 WarpShare 使用 v2 密钥方式，解密所需的秘密不会交给服务。从终端创建的链接和旧版 v1 链接，则会让密码或密钥材料经过服务。未设置密码的链接，以及未启用端到端加密的 File Requests，使用 TLS 和服务管理的存储、访问控制。
WarpSignet 是什么？
WarpSignet 是 WarpSend 的终端授权模型。已加入的签名端或明确签发、具有限定范围的自动化凭据会签署操作意图，终端再通过本地固定的组织公钥根验证，通过后才允许受保护访问。
WarpSend 能读取我的文件吗？
本页说明的端到端加密路径需要云端暂存时，服务只保存密文，不持有接收者的解密密钥。但这不适用于所有文件：未启用端到端加密的 File Requests 和未设置密码的 WarpShare，由服务管理内容存储；从终端创建的链接和旧版密码保护链接，也会让密码或密钥材料经过服务。各流程需要的操作元数据仍对服务可见。
如果云端控制平面遭入侵会怎样？
仅凭云端会话、任务记录、终端 token 或 MCP 凭据，无法为新的或扩大的受保护操作生成有效 WarpSignet 签名。但它不保护已批准范围，也不涵盖签名端或终端本身遭入侵。
WarpSignet 会阻碍计划或无人值守传输吗？
不会。重试、续传、离线交付和计划同步可复用已接受的精确范围。具有限定范围和期限的自动化凭据可以授权委派工作，无需每个分块或每次执行都人工确认。
已对照产品实现
本页不只核对营销文案，也对照了当前的 WarpSend 产品实现。核查范围包括：
- Direct 与 Shuttle 的传输路由
- 分享链接的上传和浏览器接收路径
- File Requests 云端收件、可选的端到端加密和终端交付
- WarpSync 的 Tunnel 路径和经 WarpFabric 托管暂存层的 CAS Shuttle 路径
- WarpSignet 签名、精确任务范围、终端本地验证、防重放、恢复与配对 challenge
不使用笼统安全声明
安全性取决于所选路径和设置。使用 WarpShare 时，除了密码保护，还要确认文件来自浏览器还是终端上传，以及链接采用的密钥方式。File Requests 则需确认创建时是否启用端到端加密。WarpSignet 单独负责授权受保护的终端操作。
我们不会把 WarpSend 称为无法入侵、“军用级”或所有流程都零知识。端到端加密保护本页列出的内容路径，但不隐藏服务运行所需的元数据，也不能取代终端安全和账户管理。
探索 WarpSend 功能