平台设置与安全
系统设置按功能分区独立保存。页面必须先成功加载现有配置，保存按钮才会提交；密码和密钥字段留空时保留服务器中的旧值，填写新值时才轮换。
基础设置
| 设置 | 作用 |
|---|---|
| 开放注册 | 允许本地注册及首次 OAuth 登录创建用户；关闭后已有用户仍可登录 |
| 发信需要临时申请 | 对禁止发信的域名要求用户提交申请并由管理员审批 |
| 邮件服务器主机名 | 客户端配置、邮件协议和系统提示使用的主机名 |
| 默认域名 | 默认邮箱域名；必须与域名管理中的有效记录一致 |
公开 URL、应用路径、邮件主机名和 OAuth 回调必须与真实 HTTPS 部署一致。
注册与 SMTP 认证邮件
此分区包含本地注册邮箱验证开关、验证码有效期、重发间隔、同一邮箱每日上限、来源 IP 每小时与每日注册上限，以及独立系统 SMTP。注册页实时读取验证开关：开启时邮箱必填，关闭时邮箱可选；缺失策略按开启处理。OAuth 首次创建账号不走本地邮箱验证码流程。
系统 SMTP 只发送注册验证码、密码重置、找回邮箱绑定和安全提醒，不承担普通用户业务发信。开启邮箱验证时，SMTP 和发件人必须配置完整。推荐使用“测试成功后保存”，避免错误候选配置覆盖可用配置。
端口和加密方式必须配对：通常 465 使用 SSL/TLS，587 使用 STARTTLS。系统不会在 SMTP 失败时改用本机直接投递。完整操作见 注册、SMTP 认证邮件与 Turnstile。
Cloudflare Turnstile
Site Key 是浏览器公开值，Secret Key 只保存在服务端。两个值都存在时才能开启。后台返回设置时仅返回 Secret 是否已配置，不返回明文。
启用后保护登录、注册、重发验证码、忘记密码和 OAuth/NodeLoc 绑定发起流程。Cloudflare 无法验证时系统拒绝请求，不会放行。托管模式可能无交互自动通过，因此无痕窗口没有出现复选框并不代表失效。
系统保留邮箱名前缀
后台展示由后端统一维护的保留前缀，例如管理员、运维、安全、退信和协议角色地址。邮箱可用性检查、普通创建和首次 OAuth 自动创建邮箱使用同一份规则，前端隐藏不能绕过后端校验。
默认配额与系统配额等级
默认配额定义没有更具体权益时的存储、邮箱数量和每日发信上限。系统配额等级模板分别为 L0–L4 配置同样三类额度。
系统 L 档位是本站内部配额，不是 NodeLoc 会员等级。修改模板会影响使用该档位且没有更高套餐或覆盖值的用户；大幅降低前先检查现有用量。
第三方等级规则
此分区控制：
- 普通注册用户的默认系统配额等级。
- 首次 NodeLoc 注册或首次绑定允许的最低
TL等级。 - 成功授权登录时是否同步 NodeLoc 最新等级。
TL0–TL4分别映射到哪个L0–L4。
最低等级只限制新账号和首次绑定，不会锁住既有用户。普通账号绑定后注册来源仍是普通账号；真实 NodeLoc 等级和系统配额档位单独展示。详见 NodeLoc 身份、等级与本站配额。
NodeLoc 最低等级不会关闭普通邮箱注册。普通注册仍由“开放注册”和邮件认证控制；不要把该门槛当成全站唯一注册资格。
图床默认接口
可设置上传 URL、站点默认 API Key 和策略 ID。用户没有个人配置时使用站点默认值；个人值优先。API Key 加密保存且不回显。
图床属于外部服务，必须限制允许的目标地址、上传大小和响应格式。不要把服务端密钥发到不受信任的浏览器脚本或写入公开文档。
附件存储
附件可使用本地持久卷或兼容 S3 的 Backblaze B2。S3 模式需填写 Endpoint、Region、Bucket、Key ID、Application Key 和对象前缀。附件保留天数为 0 表示不因时效自动删除。
保存 S3/B2 设置时，系统会保留 Bucket 中已有的其他规则，并为当前附件前缀更新自己的对象过期、删除标记和旧版本清理规则。凭据因此还需具备读取、写入和删除 Bucket 生命周期配置的权限；设置已经保存但生命周期更新失败时，后台会给出警告，应在存储服务商控制台核对规则。
只要数据库中存在任何非空附件存储路径，后端就会以 409 Conflict 拒绝切换本地与 S3/B2 驱动，避免新配置让旧附件失联。必须先完成受控迁移并确认附件记录已对应新存储，再切换驱动；配置开关本身不会搬迁对象。切换完成后验证读、写、缩略图和删除。S3 凭据采用加密保存，密钥权限只授予所需 Bucket、前缀和上述生命周期操作。
Telegram 通知
保存全站 Bot Token 后，用户可以在账号设置中发起 Telegram 官方登录绑定并发送测试通知。Token 只存于服务端，不出现在 webhook URL 中；Webhook 通过 Telegram Secret Token 请求头验证。
公网回调必须使用 HTTPS。轮换 Bot Token 或 webhook secret 后重新设置 webhook，并用专用账号完成绑定、测试和解绑。
出站发信通道
出站通道用于用户业务邮件，可选自定义 SMTP、Resend 或 SendFlare；当前三类都通过认证 SMTP 中继。字段包括名称、主机、端口、用户名、密码/API Key、发信域名、优先级、每小时上限、每日上限和启用状态。
- 出站通道的优先级数字越大越先尝试；单通道可直接填
0。这与 MX 记录的“小数值优先”是两套规则。 - 发信域名为空表示全局通道；填写后只匹配该域名。
- 小时或每日上限填
0表示不限。 - 达到额度后跳过该通道，继续尝试下一条符合条件的通道。
- 创建或修改后用指定收件人与已验证发件地址发送测试。
正常路由默认只让 Microsoft 托管的收件域先尝试中继，其他外部域名直接投递到 MX；管理员的通道测试会直接测试选中的通道。临时设置 RELAY_ALL_OUTBOUND=true 会让所有外部收件人先尝试中继，失败后仍尝试直接 MX，应在直接投递信誉恢复后关闭。
通道额度在真正投递前原子预留；发送失败会按原窗口释放，避免并发超发或错误退款。该通道与注册认证所用系统 SMTP 完全独立。
协议限制、免费账号邮箱阈值与自动清理
| 设置 | 作用 |
|---|---|
| IMAP 每分钟请求数 | 限制单个已认证账号的 IMAP 命令频率 |
| POP3 每分钟请求数 | 限制单个已认证账号的 POP3 命令频率 |
| 免费账号邮箱创建阈值 | 没有有效个人付费套餐时，个人邮箱数量达到该值后禁止继续创建；0 表示关闭此额外限制。付费账号不受此阈值限制，但仍受最终邮箱配额约束 |
| 垃圾箱与垃圾邮件永久清理天数 | 自动删除达到保留期的邮件，允许范围为 1–36500 天 |
降低协议限额前考虑移动客户端的后台同步和多设备场景。降低免费账号邮箱创建阈值不会删除已有邮箱，但可能使已经达到新阈值的免费账号无法继续创建。自动清理属于不可逆数据删除，先确认保留政策。
TLS / SSL
TLS 可由证书 PEM 与私钥配置给 SMTP、IMAP 和 POP3。私钥只保存在服务端，并由稳定的 KEK 加密。证书更新后必须让后端重新加载，再分别验证 587 STARTTLS、993 和 995 的实际握手证书。
网页代理证书和邮件协议证书可能由不同进程加载，只检查浏览器锁形图标不能证明邮件端口已更新。
反垃圾设置
可开启 rspamd，配置服务地址、进入垃圾箱分数、隔离分数、是否启用高风险隔离，以及发件人白名单和黑名单。名单每行一个邮箱、域名、IP 或 CIDR。
建议先关闭“超过隔离分数进入安全隔离区”，让高风险邮件进入垃圾箱并观察误判。确认评分稳定后再开启隔离，并关注隔离区存储增长。隔离邮件保留完整原文供邮箱所有者净化预览、放行或永久删除，发件人白名单会跳过隔离。全局黑名单页面还可记录规则来源、备注和过期时间。
系统公告
公告在独立页面管理，支持 Markdown、草稿/发布状态和投放范围：所有用户、个人用户或指定多个企业。发布后出现在用户通知中心，用户可标记已读。
OAuth、支付与品牌
OAuth 提供方在“OAuth 配置”管理客户端 ID、Secret、授权端点、Token 端点、用户信息端点、作用域和启用状态。回调地址必须精确匹配，Secret 留空保留旧值。
套餐与支付页管理 NodeLoc 能量、易支付和 BEpusdt，以及个人/企业套餐和平台 Logo。任何支付回调必须校验服务端签名并保持幂等。
配置变更后的检查
保存后检查对应接口、日志和实际业务，不只看成功提示。认证、安全、存储、TLS、发信或支付配置变更，应使用专用测试账号执行完整流程并确认审计记录。