用途：为 Clay 集成提供安全基线，覆盖密钥管理、回调认证、凭据隔离和线索数据保护。Clay 会大规模处理邮箱、电话、LinkedIn 等敏感个人信息，因此安全尤为重要。
前提：拥有 Clay 管理员权限的账号、了解环境变量与密钥管理、可访问部署平台的密钥管理器。
主要能力与用法： 一、密钥存储。将 CLAY_API_KEY、CLAY_WEBHOOK_URL 放在 .env 中且永不提交 git；.gitignore 加入 .env、.env.local、.env..local、.key。生产环境用平台密钥管理器，例如 gh secret set CLAY_API_KEY --body "clay_ent_your_key"，或 gcloud secrets create clay-api-key --data-file=-，或 aws secretsmanager create-secret --name clay/api-key --secret-string "clay_ent_your_key"。 二、回调认证。Clay 的 HTTP API 列会调用你的端点，需校验来源。用 HMAC-SHA256 与 CLAY_WEBHOOK_SECRET 计算签名，并用 crypto.timingSafeEqual 比较；Express 中间件从 x-clay-signature 请求头取签名，校验失败返回 401。 三、凭据隔离。Apollo、Clearbit、Hunter.io、HubSpot、Salesforce 等提供方密钥建议直接在 Clay 的 Settings > Connections 连接，而非经应用代码传递，以将凭据排除在代码库外（使用自有密钥时部分提供方为 0 积分）。 四、密钥轮换。在 Clay Settings > API 生成新密钥、更新集成、测试连通（curl 调用 api.clay.com/v1/people/enrich）、确认可用后在仪表盘吊销旧密钥，再更新部署密钥。 五、PII 保护。定义 PII_FIELDS（如 email、phone、personal_email、home_address、linkedin_url），记录日志或分析前用 redactPII 打码；用 hashEmail 对邮箱做 SHA-256 哈希以支持去重而不存明文。 六、检查清单。密钥存入环境变量或密钥管理器、.env 入 .gitignore、回调校验签名、提供方密钥在 Clay UI 连接、轮换流程已文档化并测试、日志中 PII 已打码、每个集成使用独立密钥、最小权限（查看者不能运行补全或导出数据）、源码无硬编码 Clay URL 或密钥、CI 启用 git-secrets 类扫描。
错误处理：若密钥进入 git 历史（git log -p --all -S 'clay_ent_'），立即轮换并用 BFG 清理；缺少签名校验会遭未授权调用，需加 HMAC 中间件；权限过大需在 Settings > Members 审计角色；日志含 PII 需在日志管道加入打码。
产出：维护安全控制记录，含密钥引用与负责人、有效角色、回调认证结果、PII 日志与打码证据、轮换日期、事件路径与例外批准；记录及支撑日志中不得包含有效令牌、Webhook 密钥、原始补全记录或审计导出内容。
限制：资料未提供价格、计费、支持平台范围等细节；相关平台命令如 CLI 输出。生产部署可参考 clay-prod-checklist。