安全始于数据自管
Nestiel 鸿栖 不直连 SMTP / IMAP，所有邮件 IO 经 Resend HTTP API；元数据与附件存储于自有基础设施，多租户严格隔离。
元数据自有 Postgres
邮件、会话、组织与成员信息存储于自有 Postgres，避免锁定于第三方平台。
附件自配对象存储
附件二进制存储于自配对象存储（如阿里云 OSS / S3 兼容），存放位置与生命周期由你掌控。
多租户严格隔离
由 org / mailbox header 驱动鉴权校验，跨组织、跨邮箱数据访问被严格隔离。
无 SMTP / IMAP 长连
所有收发与投递事件走 Resend HTTP API，服务不维护长连 SMTP / IMAP 通道。
Webhook 签名校验
Resend 回调经 svix 签名校验后才被采信，并做幂等处理，防伪造与重复入库。
组织级密钥集中管理
Resend API Key 与大模型 API Key 均在组织级集中配置，组织内共用，便于轮换与统一管控。
数据流向：始终绕行自有基础设施
自有域名对外，Resend HTTP API 承担邮件 IO，元数据落到你的 Postgres，附件落到你的对象存储——没有第三方为你「代管」收件箱。
自有域名
使用 hello@yourdomain.com 等地址收发；发件域名在 Resend 验证。
Resend HTTP API
所有邮件收发与投递事件均经 Resend REST API 流转。
自有 Postgres（元数据 · 会话）
邮件元数据、会话、组织与成员信息存储于你自己的 Postgres。
自配对象存储（附件）
附件二进制存储于你配置的对象存储，由你掌控。
数据始终在你自己的基础设施里
边界透明说明
我们不提供做不到的承诺。凭证（Resend API Key、对象存储密钥、大模型 API Key）按「可信运行环境」假设，目前以明文存储于数据库；入站邮件附件按需从 Resend 拉取，可能随其保留策略过期，而已发送邮件的附件持久化到自配对象存储。Nestiel 鸿栖 不提供端到端加密——安全模型建立在「数据与基础设施由你所有并运维」之上。
常见问题
我的邮件数据存储在哪里？
邮件元数据与会话存储于你自己的 Postgres，附件二进制存储于你配置的对象存储；Nestiel 鸿栖 不集中托管你的邮件内容。
多租户之间如何隔离？
鉴权由组织 / 邮箱 header 驱动，所有列表与详情接口按 mailboxId 隔离，跨组织、跨邮箱访问被严格拦截。
支持私有化 / 自托管部署吗？
支持，通过联系开发者线下交付；部署后运行环境与数据完全在你自己手里。
凭证是怎么存储的？
出于透明：Resend Key、对象存储密钥、大模型 Key 目前按「可信运行环境」假设明文存于数据库，且不提供端到端加密——安全模型建立在数据与基础设施由你自有并运维之上。