明确区分：无 AI 原生处理、本地归档及可撤销授权的 AI 模块。
为确保透明，我们明确说明会计计算执行方式、数据托管位置与可选人工智能的运作方式。
在 Voilà 服务器上确定性执行
Voilà 是云端 Web 应用（SaaS）。所有会计、税务（GST/QST）及 PDF 计算均由安全服务器上的原生 PHP/SQL 代码执行，不传输给外部 AI 提供商。
本地保存凭证
在电脑上生成并保存 PDF 发票、税务报告和导出的会计日记账，无需依赖封闭专有格式。
逐模块明确启用
AI 功能（如辅助 OCR 支出导入）默认关闭。启用后仅分析提交至该模块的凭证，您可随时撤销授权。
方法、控制范围与评估日期
Fast4u SaaS Web Shield 评分（100 / 100）对应 voila.fast4u.co 的有效公开证书及以下应用范围的内部检查表（最近评估：2026 年 10 月 23 日）：
| 检查领域 | 范围与机制 | 验证方法 | 验证日期 |
|---|---|---|---|
| 传输与加密 | 传输采用 TLS 1.3（严格 HTTPS），密钥与令牌静态存储采用 AES-256。 | 服务器配置与 OpenSSL 检查 | 23 oct. 2026 |
| HTTP / PHP2Shell 防护 | ProtectAgainstPhp2Shell 中间件、php.ini 加固及上传过滤（CVE-2026-109618）。 | 内部应用渗透测试与代码审查 | 21 oct. 2026 |
| 强身份验证 | Laravel Fortify 双重验证（TOTP）、WebAuthn 安全密钥／Passkey 与速率限制。 | 身份验证功能测试套件 | 23 oct. 2026 |
| 银行卡支付 | 由 Stripe 处理付款（通过 PCI-DSS 一级认证）；Voilà 不存储完整银行卡号。 | Stripe SDK／Webhook 流程审计 | 23 oct. 2026 |
安全与合规：严谨、可验证且透明的全面保护。
Voilà 的每一层技术与合同架构均旨在保护您的会计账簿完整性、客户隐私以及您在魁北克、加拿大及国际上的数字主权。
针对 CVE-2026-109618 与 CVE-2026-109619 (PHP2Shell) 严重漏洞，Voilà 部署了 4 层防御护盾：请求前禁用 session.upload_progress 与 fatal_error_backtraces (.htaccess / .user.ini)、应用启动前 WAF 过滤 multipart/form-data 边界与 CGI 注入、防 OOM longjmp() 内存上限控制以及强化 HTTP 安全响应头。
传输加密、密钥保护与强身份验证
所有通信传输均受 TLS 1.3 加密保护，敏感应用密钥（SMTP 凭据、令牌与集成密钥）均采用 AES-256 加密存储。每个企业账户均运行在严格隔离的逻辑边界内，并具备 CSRF 防护、双因素身份验证 (2FA) 及无密码通行密钥 (Passkeys)。
符合魁北克第 25 号法案与加拿大联邦 PIPEDA 的数据治理
分析类 Cookie 默认保持关闭，直至您明确同意。您可随时撤回同意、导出、更正或删除您的数据，并有我们以六种语言发布的官方政策作为保障。
Stripe PCI-DSS 认证支付架构与默认关闭的 AI 插件
银行卡付款通过 Stripe 经 PCI-DSS 认证的基础设施处理，Voilà 服务器不存储任何卡号。同样，我们的 AI 辅助插件在开户时默认锁定，仅在您明确授权后才会启用。
原始凭证可追溯性与结构化税务准备
受控的连续编号、多页 PDF 凭证的完整保存、加拿大税项（GST、QST、HST、PST）与进项税抵免（CTI/RTI）的精确分摊，以及可供会计师核验的 T2125 / TP-80 预备报表。
Voilà 针对威胁全球 70% 网站的严重安全漏洞的即时响应报告
在《La Presse》于 2026 年 10 月 21 日发布关于 CVE-2026-109618 和 CVE-2026-109619 (PHP2Shell) 严重漏洞的重大警报后仅数小时内，Informatique Fast4u 工程团队即在 Voilà 全线基础设施上设计、验证并部署了完整的 4 层安全防护护盾。
《互联网浩劫：一项严重安全漏洞威胁全球 70% 的网站》
该报道详述了在 PHP 语言核心发现的两项严重远程代码执行漏洞（CVE-2026-109618 和 CVE-2026-109619，CVSS 评分 9.2/10）引发的全球震荡，未受保护的服务器面临自动化攻击风险。
应急响应时间线（发布后数小时内迅速完成）
关于威胁 70% 网站的 CVE-2026-109618 与 CVE-2026-109619 严重漏洞警报正式发布。
全面剖析攻击路径：longjmp() (OOM) 内存损坏、multipart/form-data 边界与 session.upload_progress 状态操控。
启用请求前引擎加固 (.user.ini / .htaccess)、Apache 防火墙规则及 Php2ShellShield 预启动护盾。
验证 2026.10.21-PHP2SHELL-SHIELD 响应头并公开披露完整修复报告。
Voilà 立即部署的 4 项安全修复技术报告
零停机无缝启用主动防护请求前禁用 session.upload_progress 与 fatal_error_backtraces
在 HTTP 请求体解析之前，通过 .user.ini 和 .htaccess（支持 mod_php、PHP-FPM 及 CloudLinux lsapi）严格设置 session.upload_progress.enabled = 0、fatal_error_backtraces = 0 和 zend.exception_ignore_args = 1，从源头阻断全局会话状态损坏。
WAF 过滤 multipart/form-data 边界与防 OOM longjmp() 内存上限控制
通过 Apache mod_rewrite 规则立即以 403 Forbidden 拒绝包含多个 boundary= 声明、超过 70 字符的 multipart 边界或 PHP_SESSION_UPLOAD_PROGRESS 参数的请求，并限制 max_input_vars (2000) 与 max_input_nesting_level (32)。
在加载框架前于 public/index.php 入口执行前置安全检查
即时验证 multipart 边界的 RFC 合规性，拒绝超过 32 MB 的载荷，拦截 CGI 参数注入（-d、%AD、allow_url_include、auto_prepend_file）及 phar:// / expect:// / php://filter 流协议，并立即清除任何可疑临时文件。
ProtectAgainstPhp2Shell 中间件与服务器指纹隐藏
在 Laravel 请求栈顶层执行双重应用级验证，移除 X-Powered-By 响应头，禁止直接访问 .user.ini / .env / .git / .htaccess 敏感文件，并附加 X-Voila-Security-Shield: 2026.10.21-PHP2SHELL-SHIELD 审计响应头。