必须由人决策
重大产品宣称、定价与法务变更、生产部署、破坏性变更、商户付款、广告花费、对外发布和账号修改都需要明确批准。协调 Agent 或专业 Agent 不能自行批准受保护状态转换。
外部平台规则
ShipSite 不绕过账号登录、CAPTCHA、所有权验证、社区规则、服务商政策审核或付费结账。它可以准备提交包，并在人工操作后验证公开证明 URL。
Secret 与最小权限
凭据按可行的最小工作区、项目、账号、仓库或 Zone 范围授权，加密存储，只展示状态或脱敏证据。连接失败不会把受保护动作静默降级成未经验证的成功。
用回执代替承诺
部署需要版本与端点检查；搜索提交需要服务商回执；支付需要已验证 Webhook；分发结果需要公开证明 URL。证据 partial 或不可用时，UI 必须如实说明。