امنیت، توکن‌ها و حریم خصوصی
رمز عبور
رمز را از صفحهٔ ورود و مسیر «بازیابی رمز عبور» عوض کنید. بعد از تغییر رمز، همهٔ نشست‌های قبلی در مرورگرهای دیگر باطل می‌شوند و آن‌ها با پیام «نشست شما منقضی شده است» به صفحهٔ ورود برمی‌گردند. اگر فکر می‌کنید کسی رمزتان را دارد، همین کار کافی است تا بیرون انداخته شود.
توکن‌های API با تغییر رمز باطل نمی‌شوند. اگر یکی از آن‌ها لو رفته، جداگانه ابطالش کنید.
توکن‌های API
ابزار خط فرمان (CLI)، اسکریپت‌های CI و عامل‌های هوشمند مثل Cursor یا Claude Code با توکن API کار می‌کنند. توکن‌ها را در تنظیمات ← توکن‌های API می‌سازید.
«توکن جدید» را بزنید
یک نام بگذارید که بعداً بفهمید توکن مال کجاست، مثلاً «Cursor روی لپ‌تاپ» یا «CI».
دسترسی را محدود کنید
سه محدودیت دارید که می‌توانید با هم ترکیبشان کنید:
- فقط‌خواندنی: توکن فقط می‌تواند چیزی را ببیند (لاگ، وضعیت، بیلدها). هیچ چیزی را نمی‌سازد، تغییر نمی‌دهد یا حذف نمی‌کند.
- یک اپلیکیشن: به جای «همهٔ اپلیکیشن‌ها» یک اپلیکیشن انتخاب کنید. عامل فقط همان اپلیکیشن و سرویس‌هایش را می‌بیند و نمی‌تواند اپلیکیشن تازه بسازد.
- سقف هزینهٔ ماهانه (تومان): وقتی مصرف این ماه به این عدد برسد، ساختن منبع تازه یا بزرگ کردن منابع با این توکن متوقف می‌شود. استقرار دوباره و راه‌اندازی دوبارهٔ سرویس‌های موجود ادامه پیدا می‌کند.
توکن را همان لحظه کپی کنید
متن کامل توکن (که با grd_ شروع می‌شود) فقط یک بار نشان داده می‌شود. آن را در جای امن، مثلاً Secretهای CI، بگذارید.
در فهرست توکن‌ها می‌بینید هر توکن آخرین بار کی استفاده شده («هنوز استفاده نشده» یعنی هیچ‌وقت). توکنی را که لازم ندارید با «ابطال» از کار بیندازید؛ ابطال برگشت‌پذیر نیست.
توکن مثل رمز عبور است. آن را در Git، فایل .env داخل مخزن یا لاگ CI نگذارید. اگر جایی منتشر شد، همان لحظه ابطالش کنید و توکن تازه بسازید.
برای عامل‌های هوشمند تقریباً همیشه توکن «یک اپلیکیشن» با سقف هزینه بسازید. راه‌اندازی عامل‌ها در عامل‌های هوشمند و MCP آمده است.
حریم خصوصی و اطلاعات شخصی
در تنظیمات ← حریم خصوصی دو کار می‌توانید بکنید:
- دانلود اطلاعات: یک فایل از همهٔ اطلاعات شخصی‌ای که گردو از شما نگه می‌دارد دریافت کنید. این فایل اطلاعات شخصی شماست؛ آن را جای امن نگه دارید.
- ثبت درخواست: برای اصلاح اطلاعات، محدودسازی پردازش، اعتراض به پردازش، انتقال داده یا حذف حساب و داده‌های شخصی درخواست بدهید.
هر درخواست یک تیکت می‌سازد. وضعیت درخواست («در حال پیگیری»، «بسته») و مهلت اولیهٔ پاسخ در همان صفحه نمایش داده می‌شود و پاسخ را در تیکت مرتبط می‌خوانید.
قبل از درخواست حذف حساب، سرویس‌ها و دیتابیس‌هایتان را خودتان حذف کنید و از داده‌هایی که لازم دارید نسخهٔ پشتیبان بگیرید. بعد از حذف حساب چیزی قابل بازیابی نیست.
پشتیبانی هیچ‌وقت این‌ها را نمی‌خواهد
رمز عبور، کد پیامکی، متن کامل توکن API یا مقدار Secretها. اگر کسی به اسم گردو این‌ها را خواست، جواب ندهید و از داخل پنل تیکت بزنید.
در سایت گردوگردو برای عامل‌های هوشمند و CLI