الأمان

1. الإبلاغ عن ثغرة أمنية

2. ما يجب تضمينه

• ما وجدته، ولماذا يُعد مهمًا — أي الأثر، وليس التقنية فقط.
• خطوات دقيقة لإعادة إنتاجه، مع الرابط، والحساب المستخدَم، والوقت.
• إثبات مفهوم يقتصر على ما يُظهر المشكلة.
• الطريقة التي تود أن يُنسب بها إليك الفضل، إن أردت ذلك.

3. النطاق

• خارج النطاق: خدمات الأطراف الثالثة التي نستخدمها ولا نُشغّلها — أبلغ عنها إلى برامجها الخاصة.
• خارج النطاق: النتائج الصادرة عن أدوات فحص آلية دون إثبات أثر فعلي، أو غياب رؤوس تعزيز أمني وحده، أو تقارير تفيد بوجود حد لمعدل الطلبات.
• خارج النطاق: الهندسة الاجتماعية الموجهة ضد فريقنا أو مستخدمينا، والهجمات المادية، وأي أمر يُضعف الخدمة بالنسبة للآخرين.

4. قواعد الاشتباك، والملاذ الآمن

• استخدم حساباتك وبياناتك الخاصة فقط. توقف عند أول إشارة إلى إمكانية الوصول إلى بيانات شخص آخر.
• لا تقم باستخراج البيانات أو تعديلها أو إتلافها — تكفي لقطة شاشة تثبت الوصول.
• لا هجمات حجب الخدمة، ولا اختبارات حِمل، ولا رسائل مزعجة.
• امنحنا وقتًا معقولًا لإصلاح المشكلة قبل النشر، ونسّق معنا التوقيت.

5. ما نقوم به في المقابل

• نُقر باستلام التقرير خلال 5 أيام عمل.
• نطلعك على تقييمنا وجدول زمني للإصلاح خلال 10 أيام عمل.
• نبقيك على اطلاع حتى إصلاح المشكلة، وننسب إليك الفضل إذا رغبت في ذلك.

6. كيف تُؤمَّن الخدمة

• بروتوكول HTTPS في كل مكان، وHSTS، وسياسة أمان محتوى تمنع معالِجات الأحداث المضمّنة (inline).
• كلمات المرور مُجزَّأة باستخدام bcrypt بمعدل 12 دورة؛ والجلسات عبارة عن رموز JWT موقَّعة، مثبَّتة على خوارزمية واحدة.
• تحديد لمعدل الطلبات على المصادقة، وعلى واجهة برمجة التطبيقات، وبشكل منفصل على نقاط النهاية غير المصادَق عليها.
• يستخدم تسجيل الدخول عبر النطاقات المختلفة رموز تفويض قصيرة الأجل تُستخدم مرة واحدة، بدلًا من رموز مميزة في الروابط.
• يُتحقق من الملفات المرفوعة عبر بايتاتها المميِّزة (magic bytes)، وتُجرَّد من بيانات EXIF، وتُقدَّم من مسار معزول (sandboxed)؛ ويُرفض ملف SVG في أي موضع يمكن أن يتحول فيه الملف إلى مستند.
• تُخزَّن ملفات الأصول المدفوعة خارج الشجرة العامة، بحيث يكون الدفع هو ما يفتحها، لا الغموض.

7. حوادث البيانات والخصوصية