// docs / quotas & limits
配額與限制
下方所有配額與速率限制值，都會在建置時從 entitlements 模組產生，因此此頁永遠不會和伺服器實際強制的規則脫節。
各方案權益
| 免費 | 興趣 | 專業 | 无限 | |
|---|---|---|---|---|
| 掃描 / 月 | 3 | 50 | 200 | Unlimited 方案¹ |
| 專案（已驗證網域） | 1 | 1 | 5 | 20 |
| API tokens | 0 | 1 | 5 | 20 |
| Webhook 端點 | 0 | 1 | 5 | 20 |
| 主動探測 | 否 | 是 | 是 | 是 |
| GitHub repo 掃描 | 否 | 否 | 是 | 是 |
| 排程重新掃描 | 否 | 否 | ≥3h 週期 | ≥6h cadence |
| 即時威脅偵測 | 否 | 否 | 否 | 是 |
| 可分享的報告 | 否 | 否 | 是 | 是 |
| 保留期限 | 7 天 | 30 天 | 90 天 | 365 天 |
| 團隊席位 | 1 | 1 | 1 | 5 |
| 支援 | 標準 | 標準 | 優先 | 專屬 |
¹ The Unlimited plan's scan quota is subject to fair use — see Terms. ² The project cap defaults to 20 active-monitoring domains at ≥6h cadence. Contact support@fixvibe.app to raise it in exchange for a longer scheduled cadence.
API 速率限制
每個 /api/v1/* 與 /api/mcp request 都以 bearer token 的 hash 作為 key，並通過兩個 window：
- Burst: 每秒 10 個 requests。
- Steady: 每分鐘 60 個 requests。
- Per signed-in user: 30 scan submissions per 10 minutes — a soft cap above the per-plan monthly quota that absorbs bursts without exhausting the daily budget.
收到 429 時，response 會包含：
HTTP/1.1 429 Too Many Requests
content-type: application/json
retry-after: 47
x-ratelimit-limit: 60
x-ratelimit-remaining: 0
x-ratelimit-reset: 1715116200
{
"error": "rate_limited",
"message": "Token rate limit exceeded — steady (60/min). Retry in 47s.",
"retry_after_seconds": 47
}訊息會指出是哪個 window 觸發限制（burst (10/s) 或 steady (60/min)），讓 client backoff 可以自動調整。
Free 方案掃描速率限制(按 IP/24)
On top of the per-org 3-scans-per-month cap, Free plan users face an additional per-IP/24 rate limit: 3 scans per rolling 24 hours per IP /24 block. The same limiter covers anonymous instant scans, which prevents farming Free quota through throwaway accounts on one IP. Requests exceeding the limit return HTTP 429 Too Many Requests with a Retry-After header.
註冊節流（per IP/24）
每個 IP/24 在 24 小時內允許 5 次成功註冊,用以防止自動化建立 Free 方案帳號。被限速的回呼會重新導向至 /sign-in?error=rate_limited。
保留期限
Scans + findings 會依上方表格自動清除。匿名一次性掃描會在建立後 24h 過期。Audit logs 保留 18 個月。Monitor snapshots 會清到最近 7 天，另保留每組 (domain, signal) 最新 baseline。已 dismissed alerts 會在 90 天後清除。所有保留規則每日由 /api/cron/retention-cleanup 強制執行。