aaPush 数据说明（2026-10-23）

账号保存 UID、昵称、已验证登录邮箱、订阅、用量、注册时间、最近登录时间和注册 IP。
注册 IP 仅在创建时从服务端可信连接记录，旧账号未记录的信息不推测补填。
最近登录时间在验证码登录、安装身份恢复等成功建立会话时更新，不随普通查看刷新。
用户使用邮箱验证码登录和找回，不提供会员 API 密钥或恢复码。
登录采用 HttpOnly Cookie、CSRF 与服务端会话校验，设备操作另校验本机安装凭据。
验证码保存摘要、10 分钟失效、单次使用且限制尝试；SMTP 凭据加密保存。

通知订阅、VAPID 私钥、TG/Bot 授权及通知正文加密保存。消息按设备选择阅后即焚、1 天或 3 天。
阅后即焚打开详情清除服务端正文，已打开内容可留在当前页面；已显示通知不能保证远程擦除。
删除正文会清理数据库旧页，发布备份清除通知/回复正文；不承诺云平台快照或磁盘不可恢复。
个人 TG 会话具有账号访问能力，服务端按授权时间、绑定设备、接收范围与静音状态过滤。
秘密聊天和媒体不在当前文字通知范围。撤销会取消待发任务；远端撤销未确认时需在 Telegram 结束会话。

管理员只查看消息来源状态，不浏览通知正文、联系人、Token 或会话密钥。
解除邮箱会注销原登录会话及验证码，保留账号/设备/订阅/账本；原设备可凭安装凭据恢复后绑定新邮箱。
解除设备会停止其后续投递、清除相关待发内容并撤销 TG/Bot 本地授权，固定设备码保留。
已提交外部推送或正在执行的外部操作可能无法撤回。
服务日志记录路由模板、状态与耗时，不记录消息正文、凭据和完整通知 URL。
网页缓存公开外壳，不缓存账号接口、消息和余额。第三方推送服务可能处理通知标题与正文。
旧会员 UUGate 地址、余额、交易和已付服务保留；新月套餐收费尚未开放。