安全方案总览
在乐鑫，维护产品安全是我们的重要原则。我们通过技术实力的提升与自主研发的软硬件创新，积极应对日益复杂的安全威胁。在产品开发的每一个阶段，乐鑫都融入了可靠的安全机制，确保我们物联网解决方案的安全性、稳定性与高效性。
领先的硬件安全功能
乐鑫的 SoC 搭载 Xtensa® 与 RISC-V 内核，集成多项先进安全功能，为每款设备提供可信基础。平台支持安全启动、外部存储器加密、数字签名外设、加密加速器、存储器保护及硬件隔离，有效抵御物理和远程攻击。这些特性基于业界标准的加密算法构建，助力客户满足严格的合规与可信要求。
跨无线协议的安全通信
乐鑫的 SDK 可在 Wi-Fi、蓝牙和 Thread 网络中提供加密与认证通信。通过对传输层安全性协议 (TLS) 和安全配网机制的支持，设备能够安全地连接云端服务并与其他网络节点交互。这一完整的网络安全模型能够有效防御窃听、伪装和数据篡改等攻击，覆盖所有受支持的通信协议。
无缝对接的软件集成
乐鑫提供全面集成的安全软件组件，保障设备在整个生命周期中的安全运行，包括安全 OTA 升级、安全网络配网、加密存储以及安全控制 API。这些功能与 ESP-IDF 深度集成，有助于简化产品在合规认证和零信任架构实施过程中的开发路径。
ESP-TEE: 硬件保障的可信执行环境
乐鑫面向 RISC-V 架构独家支持的可信执行环境 (ESP-TEE)，可将加密运算、密钥管理和安全 API 等关键操作运行于独立的、由硬件保障的隔离区域，与主应用程序完全分离。即使应用层代码受到攻击，敏感任务依然得到有效保护，为安全可控的 AIoT 部署提供坚实基础。
可信工厂预配置，支持客户可控密钥
乐鑫提供安全的制造流程，使每台设备都具备唯一的加密身份，从而实现基于证书的无缝接入主流 IoT 云平台。
客户可以选择基于 CA 的预配置方式，由乐鑫注入已签名的 X.509 证书；也可以选择自主管理方式，在 HSM 或安全令牌等安全硬件中生成并签署设备凭证。这些签名凭证会通过安全渠道传输至乐鑫进行烧录，确保整个过程中私钥不会暴露。这种灵活的方式既让客户能够完全掌控信任根，又能利用乐鑫安全、可靠的大规模量产制造能力。
产品安全生命周期
乐鑫通过 SBOM（软件物料清单）生成、漏洞分析和 CVE 跟踪等工具与流程，帮助产品实现长期的安全防护。与此同时，乐鑫具备完善的安全事件响应机制，确保对已报告问题的及时处理。这些措施不仅支持客户在产品全生命周期内维持稳固的安全防护能力，也有助于持续满足不断提升的全球安全合规要求。
行业标准合规性
乐鑫 MCU（基于 Xtensa® 和 RISC-V 架构）及其解决方案已获得多项全球认可的安全认证和法规合规，包括：
安全专题博客
安全入门开发指南ESP32 Security Bug 赏金计划 
计划简介
为更好地适应不断变化的安全环境，并配合优化后的安全响应流程，乐鑫 Security Bug 赏金计划已更新，并于 2026 年 5 月 20 日正式生效。本计划体现了乐鑫对产品安全的持续投入，以及对全球安全研究社区的诚挚感谢。
- 奖励范围： 根据漏洞严重程度与实际影响，奖励金额通常为 200 美金至 3600 美金。最终奖金由乐鑫决定。
- 确认回复： 乐鑫将在收到报告后的 7 个工作日内完成确认，并为提交的问题分配跟踪编号（Tracking ID）。
- 处理周期： 根据 ESIRP 流程：问题评估约 4 周、修复阶段约 8 周、公开披露约 12 周。实际周期可能因问题复杂度与影响范围有所调整。
- 披露原则： 乐鑫遵循协调式漏洞披露流程（约 90 天）。在乐鑫发布安全公告和/或修复方案前，提交者不得提前公开漏洞信息。
- 安全港原则： 对于善意提交漏洞、遵守本计划条款并配合协调披露流程的安全研究人员，乐鑫不会采取法律行动。
- 不在奖励范围内： 第三方库漏洞、非乐鑫运营的第三方服务问题、仅存在于示例代码中的问题（除非同类问题存在于正式 SDK 中），以及已超出长期维护周期的软件问题。
如何提交 Security 漏洞报告？
请下载并填写：Espressif_Security_Vulnerability_Report_Form_v1.1.pdf
并将填写完成的表格，以及相关技术分析、日志、或 Proof of Concept（PoC）发送至：bugbounty@espressif.com
注意：内容不完整、描述模糊或虚假的报告将不被受理。在漏洞复现阶段，如有需要，乐鑫可能会要求补充说明或进一步证据。为保证本计划的有效性，请勿在未提前通知乐鑫的情况下公开任何问题。此外，在乐鑫官方正式发布修复补丁或安全公告之前，所有漏洞细节均须严格保密。
赏金支付
赏金通常通过银行转账方式支付。
提交者需自行遵守所在地相关法律法规，并承担可能涉及的税务责任。
保留权利
乐鑫保留对漏洞有效性的最终判定权，所有决定均为最终且具有约束力。
乐鑫真诚期待您的参与
安全事件响应流程
安全事件响应流程
乐鑫致力于确保产品和软件解决方案的安全性。我们认识到安全事件是一种持续存在的威胁，因此，我们高度重视及时、高效地响应安全事件并提出缓解措施。
本文档介绍了乐鑫硬件产品和软件解决方案中可能出现的安全事件的处理流程。我们会定期审阅和更新该流程，确保流程的有效性，向行业最佳实践看齐。
下载内容
Copyright © 2026 乐鑫信息科技（上海）股份有限公司。版权所有。
