输入了个人邮箱地址
Alice 在工作电脑上的邮箱登录页输入了她的个人邮箱地址，然后点击“下一步”。
无需新浏览器。 无需学习新东西。 只是加了一层。
LayerT 运行在 Chrome 中，也就是您的员工已在使用的浏览器。它平时不打扰任何人，只在登录或共享账号需要时才出现。
半个团队都知道密码，这就是问题所在。
共享登录信息散落在电子表格和聊天记录里。有人离职时，您只能逐个更改密码，并祈祷没有遗漏。
没有 LayerT有了 LayerT
拖动即可对比。账号均为虚构，密码均为示例。有人离职？在您的目录中移除此人，其访问权限随之失效。
动手试试
输入一个邮箱地址，看看 LayerT 如何判断。
这是 Acme Corp 一台工作电脑上的虚构邮件网站。先试一个工作邮箱，再试一个个人邮箱。两次您的网络看到的内容完全相同，而 LayerT 看到的却不同。
动手试试这里的拦截卡片是真实卡片的图示。
试试：
您输入的任何内容都不会离开此页面。
您的网络看到的
- 目标地址
accounts.postbox.example:443- 流量
- 已加密。看不到表单内容。
- 谁的账号
- 未知
一个普通网站。无论您输入什么，都会放行。
LayerT 看到的
- 页面
accounts.postbox.example上的登录表单- 输入的地址
- 尚未输入
- 人员
- Alice Chen，财务部（来自您的目录）
- 规则
- 工作电脑上的个人账号登录
等待登录。按“下一步”，看看 LayerT 会怎么做。这还不是一个有效的邮箱地址。请试试上面的示例。这是工作账号。LayerT 放行此次登录，不会介入。在离开浏览器之前就被拦下。如果工作需要，Alice 可以申请访问权限。
产品
四项工作，都在页面内完成。
向下滚动，浏览四个真实的 LayerT 流程，均以虚构数据重建。点击任一步骤即可跳转。
登录管控
看清最后一公里。
在个人账号登录离开浏览器之前将其拦截。确有需要的人可以申请。
登录管控在页面中被拦截
LayerT 将她输入的内容与您的规则进行比对，在请求离开浏览器之前拦下这次登录。
她申请访问权限
她说明需要访问的原因。审批人做出决定后，提示会自动更新。
批准 1 小时
审批人同意并选择时长。Alice 点击“重试”。每一步都会记入审计日志。
演示登录被拦截时您的团队看到的画面
共享账号
共享访问权限，而不是密码。
敏感账号须先经审批人同意，每个会话都按时结束。
共享账号打开即可搜索
LayerT 启动器从工具栏打开，光标已在搜索框中。每个账号只有一个按钮，按钮上写的就是它的作用。
就地申请
Vendor Billing Admin 需要审批人同意。Alice 填写理由，并能看到由谁审批、会话持续多久。
等待审批人
申请同时显示在启动器和审批人的收件箱中。一次只允许一人使用的账号会显示当前由谁占用。
已批准并登录
LayerT 为 Alice 完成登录，全程不向她显示密码。会话按时结束，LayerT 会让她退出登录。
演示浏览器工具栏中的 LayerT 启动器
会话治理
谁做了什么，一清二楚。
所有共享账号会话集中在一个列表中。录制默认关闭，由您决定是否开启。
会话治理所有会话，进行中的排在最前
每一次有人使用共享账号都会列出，进行中的会话排在最上方。已录制的会话可以点击“观看”。
观看回放，输入内容已遮盖
观看前须填写理由，并以您的名义记入日志。这是页面的重放而不是视频。人员输入的内容在输入位置被遮盖。重放仍会显示页面回显的内容。
远程结束会话
管理员在控制台中结束 Alice 正在进行的会话。
她的浏览器退出登录
大约一分钟内，LayerT 让 Alice 退出供应商网站。她会被告知会话已由管理员结束，但不会得知是谁或原因。
演示管理控制台
管理控制台
在一个收件箱里做决定。
负责配置的人，并不是授予例外的人。
管理控制台所有待您处理的事项
共享账号申请、放行申请、密码查看申请、规则变更和访问审查都在一个列表中。徽标只统计您有权处理的事项。
就地做出决定
选择时长：单次尝试、15 分钟，最长 24 小时。永久例外由合规团队授予，而不是 IT。
徽标数字随之减少
Bob 会在被拦截的页面中看到结果；如果他已离开，则会收到桌面通知。这项决定已记入审计日志。
演示管理控制台收件箱
最近实现
LayerT 新功能。
在正式发布前已构建并经过测试。每张卡片都链接到展示它的页面。
每个新浏览器都要等一句“同意”
无论 LayerT 以何种方式安装，新浏览器在所有者或 IT 管理员于“设备”页面批准之前，得不到任何规则，也得不到任何共享账号。
阅读
针对文件和输入文字的规则
规则可以按文件名，或按不超过 1 MB 的纯文本文件中的文字拦下文件。针对文件文字的规则也会拦下 LayerT 无法读取的文件。规则还可以对输入到其指定字段中的文字采取行动。
阅读
说明理由后继续
对于表单或粘贴规则，拦截可以允许人员在说明理由后继续。在任何内容继续之前，理由会连同其姓名一并记录，且不涉及审批人。
阅读
针对目录群组的规则
规则可以适用于某个目录群组中的人员，或适用于该群组之外的所有人。您目录中的变更会在大约 15 分钟内到达正在运行的浏览器。
阅读
您租用的服务器上的网关 抢先体验
让共享账号经由网关访问，这样供应商看到的是一个可以加入允许列表的地址。会话从网关开始，页面上的标签会写明网关以及供应商看到的地址。无法连接到其网关时，登录不会被打开，除非您将该账号设置为直连。
阅读
需要更多信息的登录表单
LayerT 会填写额外的登录字段，在账号旁保存备注，并显示当前的身份验证器代码。它还会填写位于同一网站的框架中的登录表单，并说明该表单属于哪个地址。
阅读
发出警告，由员工自己决定
规则可以只发出警告，而不直接拦截。员工阅读您的提示后，可以返回或继续，选择继续会被记录。
阅读
在您的收件箱中审批
审批人会通过邮件、Slack 或浏览器通知收到请求，并可直接在 Slack 中作出决定。
阅读
显示实际使用情况的访问权限审查
查看每个共享账号有哪些人可以使用、他们最近一次使用是什么时候，然后移除无人使用的权限。
阅读
来自共享邮箱的验证码
当供应商把登录验证码发送到团队邮箱地址时，LayerT 会自动填写。密码重置邮件只会交给账号负责人，绝不会显示给当前登录的人。在 LayerT 的合规审查之前，在生产环境中保持关闭。
阅读
路由地图
谁可以访问每个共享账号、它走哪条路由、到达哪些网站，并可假设分析网关故障时的情况。
阅读
策略如何保持可信
签名策略包里有什么、每个浏览器如何校验它，以及一台失陷的笔记本电脑能做什么、不能做什么。
阅读为什么不直接用您已有的工具？
这个问题很合理。下面每一种工具都能很好地完成各自的工作，但没有一种会在有人登录的那一刻位于页面之中。
“我们的网络安全已经覆盖了这一点。”
网络与云安全工具
它们看到的发往某个网站的加密流量。
LayerT 看到的页面中的登录表单，以及这是谁的账号。
“我们可以改用企业浏览器。”
企业浏览器
它们要求所有人换用新浏览器，并由您负责推广部署。
LayerT在您团队已在使用的浏览器中运行。
“我们的密码管理器可以共享登录信息。”
支持共享的密码管理器
它们共享的是密码。员工可以看到并复制它。
LayerT 共享的是访问权限。它替员工登录，并按时结束会话。
“这不就是特权访问管理吗？”
特权访问管理套件
它们带来的是厚重的基础设施，为大型企业打造。
LayerT 带来的是一层浏览器防护，为大量使用 SaaS 的团队打造。
基于开放标准构建，以严肃态度测试。
LayerT 使用您现有技术栈已在使用的协议，其核心流程在真实浏览器中进行了端到端测试。
兼容对象
- 浏览器一个 Manifest V3 扩展程序，由您的 MDM 借助适用于 macOS 和 Windows 的 Chrome 企业策略文件进行部署。
Google Chrome现已支持
Microsoft Edge即将推出
Mozilla Firefox即将推出
Opera即将推出
- JumpCloud 专为其构建通过 SCIM 2.0 同步目录。通过 OpenID Connect 登录控制台。
- 您的 MDM 模板已就绪推送 Chrome 策略，安装 LayerT 并将其固定在工具栏上。
- 内置登录规则个人 Google 账号登录、Telegram Web 和 WhatsApp Web，第一天即可使用。指向任何其他网站，即可编写您自己的规则。
- 其他身份提供商 尚未认证Okta、Microsoft Entra ID 和 Google Workspace 使用相同的标准（SCIM 2.0 和 OpenID Connect），但我们尚未对其进行认证。
SCIM 2.0OpenID ConnectEd25519AES-256-GCMTOTP，RFC 6238Manifest V3rrweb 回放加密对象存储
测试情况
截至 2026年10月3日。
- 8,370自动化单元测试分布在十个软件包中，其中包括扩展程序和控制台。
- 82端到端浏览器场景在真实的 Chromium 中加载真实的扩展程序运行。2026年10月3日全部通过。
- 演示流程我们在演示中运行的故事，使用虚构的网站和模拟数据。
- 色彩对比度由测试检查LayerT 绘制的每一组颜色都符合 WCAG AA，并经自动检查。
端到端测试使用的是虚构的供应商网站，以及对 LayerT 所针对登录页面的忠实仿制版本。
Ed25519 签名的策略AES-256-GCM，每个机密使用新密钥策略过期时失败即关闭远程登出约一分钟内生效审计日志保留 365 天6 个内置角色查看密码需经两人审批录制默认关闭
借助您已在使用的工具完成部署。
- 您的目录JumpCloud，通过 SCIM 2.0
- LayerT 控制台规则、共享账号、收件箱
- 签名策略下发到扩展程序Chrome，由您的 MDM 推送
- 网页LayerT 在此拦截、询问或代为填写
请求、登录和会话回流到收件箱和审计日志。
部署
您的 MDM 推送一条 Chrome 策略，安装 LayerT 并将其固定在工具栏上。员工使用公司身份登录一次即可。此后，每个新浏览器都要等待管理员审批。
macOS 和 Windows设置策略
在控制台中编写规则、添加共享账号。只需指向页面，即可创建规则。
下发前先签名执行
扩展程序只读取您的规则所指定的内容。它在页面中对表单提交、粘贴、输入的文字和文件采取行动，并填写共享账号的登录信息。
策略过期时失败即关闭决策与举证
请求进入收件箱，也会通过邮件或 Slack 通知审批人。每一次拦截、审批、登录和会话都以平实的语言记入同一份审计日志。
默认保留 365 天团队通常从这里开始。
LayerT 第一天就能解决的六个问题。选一个最像您日常工作的场景。
安全
哪些已经是事实，哪些还不是。
构建方式
- 签名策略，使用前先校验规则以 Ed25519 签名后下发，由浏览器自带的加密功能进行校验。过期或被篡改的策略会触发拦截，而不是放行。
- 每个机密都用独立的密钥密封AES-256-GCM 信封加密。录像在设备上加密，所用密钥专为该会话生成。
- 查看密码需经两人审批身份验证器代码在服务器端生成。查看已存储的密码或设置密钥需要两名审批人批准，其中一人须为所有者或合规官。只显示一次，并会被记录。
- 职责分离IT 负责配置。合规部门负责授予长期例外。任何人都不能审批自己的请求。
- 每个新浏览器都要等待审批无论 LayerT 以何种方式安装，新浏览器在所有者或 IT 管理员批准之前，得不到任何规则，也得不到任何共享账号。每个浏览器的凭据都绑定到一个在该浏览器中生成且无法导出的密钥。
局限，如实说明
- 目前支持 ChromeEdge、Firefox 和 Opera 即将推出。不支持 Safari、移动应用或桌面应用。
- 规则读取纯文本，且只读取它们指定的内容规则作用于表单提交、粘贴、输入的文字以及交给页面的文件。LayerT 不读取 PDF、Office 文件或图片的内部：针对文件文字的规则会拦下这些文件，并说明它无法检查它们。网站自行在后台上传的内容不会被检查。
- 命中的规则会记录什么LayerT 只读取您的规则所指定的字段。规则匹配时，LayerT 会记录匹配到的内容，对于输入规则则会记录该字段的文字，以便审计人员核查这一判定。规则可以遮盖或隐藏其值。
- 录制默认关闭贵公司须先确认合法依据，页面上会告知当事人。他们输入的内容在输入位置被遮盖，即在表单字段和富文本编辑器中。录像仍会显示页面回显的内容。水印可以起到震慑和追溯作用，但无法阻止用手机拍摄屏幕。
- 尚未正式发布，目前没有任何认证LayerT 可以生成您的审计人员所要求的证据。它运行在使用模拟数据的测试环境中，生产环境未部署。将密钥存放在云端密钥服务中的功能已构建，并已在该测试环境中使用。
如何辨别真正的 LayerT 提示
LayerT 从不索要您的密码。而且当它出现在页面上时，工具栏中的 LayerT 图标会亮起。网站可以仿冒提示，但无法在您的工具栏中绘制内容。
reports.vendor.example
LayerT · Acme CorpLayerT 提示从不索要您的密码。
LayerT 出现在页面上时，圆点亮起
接下来的计划。
本节之前介绍的所有功能均已实现。以下是我们最近完成的功能以及即将推出的功能，每一项都如实标注了当前所处的阶段。
最近实现已实现
与 LayerT 的其他部分一样已构建并经过测试。LayerT 运行在使用模拟数据的测试环境中。生产环境未部署。
每个新浏览器都要等待审批
新浏览器在所有者或 IT 管理员于“设备”页面批准之前，得不到任何规则，也得不到任何共享账号。
用工作账号完成设置
员工可以自己设置 LayerT：输入工作邮箱，并通过贵公司自己的登录页面登录。不需要粘贴任何令牌。
每个浏览器一个密钥
每个浏览器的凭据都绑定到一个在该浏览器中生成且无法导出的密钥。
针对文件的规则
按文件名，或按不超过 1 MB 的纯文本文件中的文字拦下文件。LayerT 无法读取的文件，会被针对文件文字的规则拦下。
针对输入文字的规则
规则可以对输入到其指定字段中的文字采取行动。它会告知当事人，并阻止这些文字通过表单、提交按钮或回车键发送出去。
针对目录群组的规则
规则可以适用于某个目录群组，或适用于该群组之外的所有人。
说明理由后继续
对于表单或粘贴规则，人员可以在给出理由后越过拦截继续。在任何内容继续之前，理由会连同其姓名一并记录。
框架内的登录表单
LayerT 会填写显示在同一网站的框架中的登录表单，并说明该表单属于哪个地址。
共享账号的其他网站
一个账号可以列出它使用的其他网站，例如单独的登录地址。
控制台中的“新功能”页面
有一个页面用平实的语言列出 LayerT 的变化，最新的在前。
可以选择继续的警告
警告规则会显示您设定的提示信息，并提供“返回”和“继续”两个选项。选择继续会被记录。
审批人即时收到通知
请求除了进入控制台收件箱，还会通过邮件、Slack 和浏览器通知审批人。
需两人审批的密码申请
查看已存储的密码需要两名审批人批准，其中一人须为所有者或合规官。密码只显示一次。
密码被查看时发出提醒
所有者、合规官以及该账号的负责人会立即收到通知。
审计日志筛选、导出与脱敏
按人员、规则、账号或日期筛选，导出您看到的内容，并可逐条规则对值进行遮盖。
访问权限审查
每个季度，账号负责人会根据实际使用情况，确认哪些人仍需要访问权限。
登录健康状况
哪些共享账号登录成功了，其余的在哪一步停下，都用文字说明。
更多登录字段与备注
账户 ID、组织 ID 和 PIN 字段，以及每个共享账号的备注。
当前的身份验证器代码
如果代码无法自动填入，会在工具栏弹窗中显示给已登录的人。查看行为会被记录。
从 JumpCloud Password Manager 导入
从导出文件中迁移共享账号。预览中绝不显示密码。
路由图
一目了然地查看谁通过哪条路由访问了哪个账号。
邮件登录验证码
供应商发送到共享邮箱的验证码，会为当前登录的人自动填写。在 LayerT 的合规审查之前，在生产环境中保持关闭。
共享邮箱
在控制台中阅读团队邮箱，需经审批、带有水印，并记录每一封邮件。在同一项审查之前，在生产环境中保持关闭。
设备信任
保留供应商“记住此设备”的 Cookie，让员工不必每次都验证。
控制台首页
需要您处理的事项、正在运行的内容以及需要修复的问题，集中在一个页面上。
密钥存放在云端密钥服务中
已构建。已在测试环境中使用；生产环境未部署。
通过签名安装包强制安装
让员工无法从受管浏览器中移除 LayerT。已实现；将随首个正式版本一同启用。
抢先体验抢先体验
网关路由
让共享账号经由您租用的服务器上的网关访问，这样供应商看到的是一个可以加入允许列表的地址。在您开启之前，每个账号的路由都是关闭的。
部署在您自己服务器上的网关
租用一台带固定 IP 的小型服务器，粘贴一条命令，即可在控制台中管理。
会话从网关开始
供应商第一次看到这个会话时，看到的就是网关；页面上的标签会写明网关以及供应商看到的地址。
没有网关就不打开
无法连接到其网关时，登录不会被打开，除非您将该账号设置为直连。
已构建并经过测试；它只在我们的测试环境中运行过。
即将推出开发中
Edge、Firefox 和 Opera
在更多浏览器中使用 LayerT。
提议中设计中
导出提醒
目前导出操作会被记录。提醒功能将在导出发生时通知所有者。
防篡改的审计存储
一份历史记录可被校验的日志，而不仅仅依靠访问控制来保护。
团队审批人仅审批本团队
目前，团队审批人可以审批整个组织范围内的请求。
自动更改密码
由 LayerT 自行在供应商处更改共享密码。
想对优先顺序发表意见？预约演示，告诉我们您最先需要什么。
一位称职的安全负责人会问的问题。
直截了当的回答。如果这里没有您的问题，欢迎在演示中向我们提出。
员工需要更换浏览器吗？
不需要。LayerT 是 Chrome 中的一个扩展程序，而 Chrome 正是他们已在使用的浏览器。由您的 MDM 负责部署，员工使用公司身份登录一次即可。此后，每个新浏览器都要等待管理员审批，之后才会获得任何规则或共享账号。
LayerT 会读取员工在浏览器中的所有操作吗？
不会。LayerT 只读取您的规则所指定的字段。规则匹配时，LayerT 会记录匹配到的内容，对于输入规则则会记录该字段的文字，以便审计人员核查这一判定。规则可以遮盖或隐藏其值。请告知您的员工您的规则会记录什么。会话录制是另一回事：它默认关闭，需要贵公司先确认合法依据，并且开启时会在页面上告知当事人。
如果 LayerT 无法连接到服务器会怎样？
扩展程序会继续按照最近一次签名的策略运行。如果该策略过旧，LayerT 会失败即关闭：拦截您的规则所涵盖的操作并告知当事人原因，直到能够再次同步。允许人员在说明理由后继续的拦截，在 LayerT 离线期间仍然是拦截，因为必须先记录理由。
员工能看到或复制共享密码吗？
登录时不能。LayerT 会替他们填写登录表单，密码既不会显示在屏幕上，也不会存入浏览器的密码管理器。如果确实有人需要查看密码，可以提出申请：必须由另外两人批准，其中一人须为所有者或合规官。密码只显示一次，查看行为会被记录，并会要求该账号的负责人更改密码。
它支持哪些身份提供商？
LayerT 专为 JumpCloud 构建，基于 SCIM 2.0 和 OpenID Connect。其他支持这些标准的提供商或许也能使用，但我们尚未对其进行认证。
这是数据防泄漏（DLP）产品吗？
并非广义上的 DLP。LayerT 的规则作用于表单提交、粘贴、输入的文字以及交给页面的文件，文件按文件名，或按不超过 1 MB 的纯文本文件中的文字。LayerT 不读取 PDF、Office 文件或图片的内部：针对文件文字的规则会拦下这些文件，并说明它无法检查它们。网站自行在后台上传的内容不会被检查。与其在安全评审时才让您发现，我们宁愿现在就告诉您。
供应商可以把我们的地址加入允许列表吗？
可以，按共享账号逐个设置。让该账号经由您租用的一台小型服务器上的网关访问，供应商看到的就是一个可以加入允许列表的地址。在您为某个账号开启之前，路由是关闭的；无法连接到其网关时，登录不会被打开，除非您将该账号设置为直连。网关处于抢先体验阶段：已构建并经过测试，且只在我们的测试环境中运行过。
LayerT 是否通过了 SOC 2 或 ISO 27001 认证？
尚未通过。LayerT 尚未正式发布。它目前能做的，是生成您自己的审计人员所要求的证据：审批、登录和会话，全部记录在一份易读的日志中。
费用是多少？
价格需单独申请。价格取决于使用 LayerT 的人数以及您需要哪些功能模块，请在预约演示时向我们介绍您的团队，我们会为您准备一份方案。
