ADMIN
平台管理控制台
系统设置
管理员 2FA 使用 TOTP。语言预留中 / 英 / 日（next-intl）。
管理员 2FA
读取状态不回密文。开始绑定后用验证器扫码，再填 6 位码确认启用。关闭要二次确认；已经 enabled 时还要带 TOTP。不要在共享管理员上留下 enabled。
当前 disabled
读取状态不回密文。绑定后用 6 位码确认启用。不要在共享管理员上留下 enabled。
告警阈值
成功率下限、最少请求数、待对账条数。保存需要二次确认头。
告警阈值写入 ops 表，评估成功率时会读取。
运维开关
健康探测不会计费。熔断跳过该 Provider；灰度按百分比把带 X-Tokenhub-Canary 的流量切到指定 slug。
备份演练
只验证 Postgres / Redis / migration，并记录 RPO 15 分钟、RTO 1 小时。不是把整库真的恢复一遍。
告警阈值写入 ops 表，评估成功率时会读取。
异常演练
支付演练必须拒绝伪造签名；媒体演练只记录 force-fail 必须释放预授权；TLS 演练核对已知域名 200、未知 404、沙箱 issued。
支付/媒体/TLS 演练不强制确认头。TLS 只验沙箱门禁，不是公网 ACME。
OEM 证书
.localhost / 空目录走沙箱 issued。配置 ACME 目录后，公网形态域名走 RFC 8555。公网 Let's Encrypt 仍要真实 DNS 与边缘节点，本页不假装已对公网签发。
告警阈值写入 ops 表，评估成功率时会读取。