一台机器，一个租户
订单对应独享物理机，不在共享宿主中切出虚拟实例。其他租户不会占用这台机器的 CPU、GPU 或统一内存，也不共用你的 macOS 工作环境。
隔离边界：物理节点
云端 Mac 的安全边界
独享，所以边界清楚
每台 Apple Silicon 物理节点只分配给一个租户。不是虚拟机，也不与其他租户分摊 CPU、GPU 或统一内存。
先核对隔离、访问与数据处置，再把工程和构建任务迁过去。
已有订单遇到节点不可达？登录控制台提交工单，附上订单号和故障时间。
可用率与核对依据
目标写清楚，记录不编造
可用率承诺与历史观测是两件事。下面展示服务目标和核算口径，不把目标数字当成已经测得的结果。
月可用率目标
99.9%
所有节点全年 365 天正常运行。月可用率低于 99.9% 时，按不可用时长等比例顺延租期。
青碧刻度表示服务目标，不代表逐日监测结果。
近 90 天观测范围
核对节点可达性、故障开始与恢复时间，以及相关订单。本页未发布可核验的逐日监测明细，因此不展示全绿日条，也不宣称近 90 天全部正常。
- 统计周期
- 按月核算可用率
- 历史核对范围
- 近 90 天相关故障记录
- 所需依据
- 订单号、时间区间、连接错误与工单记录
- 处理方式
- 核实不可用时长后顺延租期
怎样计算，怎样申请
月可用率按「当月服务总时长减去核实的不可用时长，再除以当月服务总时长」计算。申请时写明发生时间及所用时区，不必自行推断故障原因；保留原始连接错误比只写“连不上”更有助于核对。
用户自身操作造成的中断与不可抗力按服务条款界定。单次 SSH 超时不能直接证明节点整体不可用，需要结合连接方式、网络路径与节点记录判断。具体适用范围见服务条款。
资源隔离
你租到的是机器，不是共享份额
独享解决跨租户资源争用；工程权限、团队协作和任务并发仍需要你在机器内管理。
原生能力，不额外分摊
macOS 图形界面与命令行完整可用。Xcode、模拟器与 Metal 在原生环境中运行。你自己启动的多个构建、测试或推理任务，仍会竞争同一台机器的资源。
并发边界：本机资源
团队使用，团队授权
同一团队轮班使用节点时，应按成员管理系统账户、SSH 公钥与工程目录权限。独享不等于所有成员都应持有管理员权限，也不等于可以共用一份私钥。
权限边界：最小授权
判断性能时，请同时记录工程规模、Xcode 版本、并发任务数和缓存状态。独享意味着不与其他租户争用，不意味着任意工作负载都能得到固定构建时长。
租期结束后的数据处置
先带走数据，再交还机器
租期结束后执行磁盘擦除与系统重装，再交付下一位租户。节点不是长期归档库，备份应独立于租用机器。
-
01
到期前导出
把未提交代码、构建产物、必要的配置与密钥材料备份到你管理的存储。验证备份能打开、工程能重新拉取，不要只检查复制命令是否退出。
-
02
撤销外部授权
移除不再使用的 runner 注册，撤销部署令牌与仓库授权。磁盘擦除解决本机残留问题，不能代替你在外部系统中撤销凭据。
-
03
擦除并重装
租期结束后的处置包括磁盘擦除与系统重装，完成后再交付下一位租户。不要把到期后的机器当作仍可恢复工程文件的备份来源。
备份检查至少覆盖三类内容
第一类是代码与大文件：确认 Git 提交和大文件对象已经同步。第二类是工作产物：归档包、测试报告、日志与尚未上传的构建结果。第三类是可重建环境：依赖锁文件、工具版本和 CI 配置。能重建的缓存不必全部保留，不能重建的资料应优先导出。
我们不读取租户节点内的文件与工程数据。账户、订单与支付交易标识属于服务管理记录，与节点上的工程文件采用不同的保存口径。需要了解收集目的与用户权利，可查看隐私说明。
访问控制
密钥归你，权限按需开放
默认仅使用 SSH 密钥登录。连接凭据与订单相关操作记录在登录后的控制台查看，可按需重置凭据。
第一次连接前
在自己的客户端生成密钥，私钥留在客户端，只提交公钥。首次连接核对节点信息与主机密钥指纹；出现指纹变化时先确认是否进行了系统重装，不要直接忽略警告。
本地密钥建议设置口令。不要把私钥写进仓库、构建日志或工单，也不要在多个成员之间传递同一份私钥。
人员或任务变更后
成员离开项目时，移除对应公钥和不再需要的账户权限。CI 使用单独的服务账户与令牌，把仓库访问、构建和部署权限分开管理。
只开放实际需要的端口。重置凭据后，检查旧客户端、自动化脚本与 runner 是否仍在使用旧配置，避免重复失败的连接掩盖真正故障。
排障不需要交出秘密
工单可以提供公钥指纹、客户端版本、错误文本和经过脱敏的配置片段。请勿提交密码、SSH 私钥、完整访问令牌或含秘密的环境变量。需要临时排查权限时，先在工单里约定范围与撤销方式。
支付数据边界
核对交易，不收集卡号
所有订单以美元（USD）结算，仅支持以下两类支付方式。实际可用网关以后端接口返回为准。
Visa / Mastercard / Amex
银行卡支付经 Stripe 处理，我们不存储卡号。订单对账使用相关交易标识与支付状态，不需要你在邮件或工单里发送完整卡号或银行卡安全码。
遇到扣款失败或状态不一致，提供订单号、发生时间、金额与页面错误即可。截图前遮盖个人信息，不要反复付款来测试状态。
银行卡处理：Stripe
USDT-TRC20
按链上记录核对支付。付款前确认网络、收款地址与订单金额均与结账页一致；核对时使用交易哈希，不需要提供钱包私钥或助记词。
转账后若订单状态尚未更新，先保留交易哈希与订单号，再提交工单核对。页面不承诺固定到账分钟数，也不以截图代替交易记录。
链上核对：交易哈希
节点文件、账户记录和支付交易标识是不同的数据类别。提交付款问题时只附与订单有关的信息，不要顺带上传工程包或签名材料。
一份有用的报告，包含这些内容
-
01
影响范围
说明涉及页面、订单或节点，以及你观察到的行为。没有证据时不要把猜测写成已经发生的数据泄露。
-
02
复现步骤
按实际操作顺序记录输入、预期结果与实际结果。只在自己有权访问的范围内验证，不读取其他租户数据。
-
03
时间与证据
标明时间及所用时区，附脱敏错误文本或截图。删除令牌、密码、私钥和个人信息，保留与问题有关的上下文。
-
04
处理与回访
通过邮件或工单补充线索，沿同一记录跟进。节点不可达等影响使用的故障优先排查，具体进展以回复为准。
报告中无需附上可直接访问节点的秘密。若怀疑凭据已暴露，先撤销相关令牌、移除异常公钥或重置凭据，再保留必要记录并上报。
边界核对完，再开始构建
选择独享物理节点，把密钥、备份与团队权限一并准备好。配置、周期价格和附加项在方案页公开列出。