外发后的控制与水印溯源｜Ftrans B2B
提高转发成本、保留追溯能力——这是它能做到的，也是它的边界。
一句话定义
外发后的控制与水印溯源，指文件送达外部之后仍然生效的一组约束与标记手段：提取码、有效期、提取次数限制、仅预览不下载构成提取环节的约束；在线预览水印、下载明水印与下载暗水印构成内容标记，其中暗水印支持在文档被编辑后仍可识别，用于泄露溯源。
先把边界说在前面：这类手段的作用是提高转发成本并保留追溯能力，不能物理阻止对方二次转发。它们不能替代管理制度与保密协议。
一、这个能力解决什么问题
图纸、报价单、技术方案、合同这类文件发出去之后，企业面对的是一个结构性事实：文件已经在对方的设备上了。 对方要拍照、要截屏、要转给第三方，技术上没有任何产品能物理阻止。
在这个前提下，还能做的事情只有三类：
| 能做的 | 具体是什么 |
|---|---|
| 限制拿到的方式 | 加提取码、设有效期、限制提取次数、只让在线看不让下载 |
| 让内容带上身份 | 预览与下载时叠加水印，让每一份流出的副本都能对应到具体的人与时间 |
| 在事后拿到证据 | 从流出的文件里提取暗水印，识别出原始文件与提取者 |
这三类合起来解决的不是”防住”，而是”让随手转发变成一件有代价、且会留下痕迹的事“。对多数商业场景来说，这个转变已经足够改变行为——但把它宣传成”防泄露”是不诚实的，也经不起客户在评审时追问。
→ 出向的完整处理顺序与放行闸见 文件出入向安全治理
二、怎么工作：从发出到溯源的四步
2.1 第一步 · 外发前设定约束
文件外发时可以配置一组提取控制：
- 提取码 —— 对方需要凭码提取，链接被转发也不能直接打开。
- 有效期 —— 过期即不可提取。个人文件夹、伙伴库、交换文件三类有效期都可以设置默认值或范围，过期自动清理或归档。
- 提取次数限制 —— 限制同一份文件包被提取的次数。
- 提取权限 —— 分为仅预览与可下载两档。高敏感文件配置为仅在线预览、不允许下载，是图纸类外发中最常用的一档。
- IP 访问限制 —— 可配置只允许指定地址访问。
这些设置在伙伴邮发送文件包时逐次指定，也可以在应用管理中配置默认值。
2.2 第二步 · 在线预览时的标记
对方选择在线预览时，平台叠加在线预览水印。这一项属于标配安全防护能力。
对于配置为”仅预览不下载”的文件，预览水印是唯一一层内容标记——它要覆盖的正是截屏与拍照这种最常见的泄露方式。
2.3 第三步 · 下载时的两类水印
对方下载文件时，可以叠加两类水印。这两类都是可选组件，需要单独选配。
下载明水印（可选组件） —— 下载时把文件转换为带水印的格式，水印可见。支持的类型包括图像（JPG/PNG/BMP/TIFF/GIF/WEBP）、文档（PDF/DOC/DOCX）、电子表格（XLS/XLSX）与演示文稿（PPT/PPTX），不同类型各有自己的文件大小上限。
下载暗水印（可选组件） —— 下载时添加不可见的暗水印，不影响文件的正常使用。支持 JPEG、PNG、TIFF、WEBP、GIF、HEIF、HEIC 等图像格式，以及 DOC、DOCX、XLS、XLSX、PPT、PPTX、PDF 等文档格式。
水印本身可以配置：启用与禁用、多水印策略、作用范围（按用户或按 IP 地址）、在哪些功能点启用，以及模板（文案、字体、字号、颜色、倾斜度）。
2.4 第四步 · 事后溯源
暗水印的价值在这一步兑现：支持水印内容的提取解析与原始文件识别，且文档类支持在被编辑之后仍可识别。
这一条是明水印做不到的。明水印可以被裁掉、被涂抹、被重新排版；而文档类暗水印在内容被编辑之后仍然能被识别出来，这让”从流出的副本反查是谁下载的”成为一个可执行的动作，而不只是一句威慑。
拿到一份疑似外流的文件后，可以在平台内提取其中的暗水印内容，识别原始文件；结合交换记录与日志，能对应到具体的下载行为。
→ 谁在什么时候下载了哪个文件，记录见 交换全程审计与日志追溯
三、配置与运维要点
3.1 按敏感度分档，不要一刀切
把所有外发都配成”仅预览 + 明暗水印”会带来两个后果：一是业务侧抱怨对方拿不到能用的文件，二是水印处理带来额外的转换环节。合理的做法是分档：
| 文件类型 | 建议档位 |
|---|---|
| 核心图纸、工艺文件、未公开的技术方案 | 仅在线预览、不允许下载 + 预览水印；确需下载时叠加明水印与暗水印 |
| 需要对方编辑或导入系统的交付物 | 允许下载 + 暗水印（明水印会破坏可用性） |
| 一般业务往来文件 | 提取码 + 有效期 + 提取次数限制 |
3.2 明水印会改变文件形态，暗水印不会
明水印是下载时转换为带水印格式，这意味着对方拿到的文件与源文件不是同一份形态。如果对方需要把这份文件导入自己的系统做后续处理，明水印可能导致不可用。这种场景下应当只用暗水印。
3.3 水印文案要能定位到人
水印模板的文案应当包含能定位到具体提取者的信息（如提取账号与时间）。只写公司名的水印在溯源时几乎没有作用——泄露发生时，需要知道的是”这份是谁那儿流出去的”，不是”这份是我们发的”。
3.4 有效期要和项目周期对齐
设置文件有效期，项目结束后自动失效，是降低长期暴露面最省事的一项。它不需要任何人去记得回收，也不依赖对方配合。
3.5 存储侧还有两项可选防护
如果担心的是存储介质本身被直接读取，另有两项可选组件：服务端落盘加密（指定目录自动加密存储）与文件安全粉碎（粉碎性删除，操作系统与存储系统均无法恢复）。这两项与外发控制不是一回事——前者管的是”存着的时候”，后者管的是”删掉之后”。
四、与其他能力的关系
- 它在整条流水线的位置 —— 外发控制生效于文件已经通过出向检查并送达之后。→ 文件出入向安全治理
- 发出之前的内容检查 —— 该不该发出去，由内容检查与审批回答。→ 外发内容检查与敏感信息识别 · 审批流程与既有 OA 集成
- 提取与下载行为的记录 —— 溯源要能落地，靠的是日志与交换记录。→ 交换全程审计与日志追溯
- 对端零部署的提取方式 —— 提取码、有效期、提取次数是文件包链接这一机制的一部分。→ 合作伙伴文件安全交换
- 典型场景 —— 图纸与技术文档外发是本能力价值最集中的场景。→ 高端装备与精密制造的图纸外发 · 集成电路与半导体的内外部文件交换
常见问题
Q：能不能防止对方把文件二次转发？
A：可以降低风险，但不能物理阻止。文件一旦到了对方设备上，拍照、截屏、转发在技术上无法被产品阻断。产品提供的是提取码、有效期、提取次数限制、仅预览不下载、明水印与暗水印这一组手段，作用是提高转发成本并保留追溯能力，不能替代管理制度与保密协议。
Q：明水印和暗水印有什么区别？该用哪个？
A：明水印是下载时把文件转换为带水印的格式，水印可见，威慑作用直接，但会改变文件形态，对方需要导入系统处理时可能不可用。暗水印是不可见的，不影响文件正常使用，并且支持水印内容提取解析与原始文件识别，文档类在被编辑之后仍可识别。需要威慑用明水印，需要事后溯源用暗水印，两者可以同时使用。两项都是可选组件。
Q：文件被对方改过之后还能溯源吗？
A：文档类暗水印支持在文件被编辑之后仍然识别。拿到疑似外流的文件后，可以在平台内提取暗水印内容并识别原始文件，再结合交换记录与日志对应到具体的下载行为。明水印做不到这一点——它可以被裁剪、涂抹或重新排版去掉。
Q：水印支持哪些文件格式？
A：明水印支持图像（JPG/PNG/BMP/TIFF/GIF/WEBP）、文档（PDF/DOC/DOCX）、电子表格（XLS/XLSX）与演示文稿（PPT/PPTX），不同类型各有文件大小上限。暗水印支持 JPEG、PNG、TIFF、WEBP、GIF、HEIF、HEIC 等图像格式，以及 DOC、DOCX、XLS、XLSX、PPT、PPTX、PDF 等文档格式。具体的规格边界建议在方案设计阶段结合实际文件类型确认。
Q：不想让对方下载，只让看，能做到吗？
A：可以。提取权限分为仅预览与可下载两档，配置为仅在线预览时对方无法下载文件，预览过程叠加在线预览水印。高敏感的图纸与技术方案常用这一档。需要注意的是，仅预览不能阻止截屏与拍照，预览水印的作用正是让这类副本仍然可追溯。
Q：这些水印能力是标配吗？
A：在线预览水印属于标配的安全防护能力。下载明水印与下载暗水印都是可选组件，需要单独选配。服务端落盘加密与文件安全粉碎同样是可选组件。选型时建议按实际外发场景确定需要哪几项。