الأمان والثقة

آخر مراجعة: 26 أبريل 2026 · يتم التحديث بشكل مستمر

مُتحقَّق ومؤمَّن بواسطة TAC Security ESOF

أكملت ChamsPilot تقييماً أمنياً مستقلاً (Google CASA - تقييم أمان تطبيقات السحابة)، تم التحقق منه عبر منصة TAC Security ESOF بواسطة مُقيّم CASA معتمد (ADA).

نظرة عامة

ChamsPilot يتعامل مع ثلاثة أشياء يعشقها المهاجمون: المال (مدفوعات المبدعين، ميزانيات العلامات التجارية)، بيانات اعتماد الطرف الثالث (OAuth لـ Gmail / Outlook، كلمات مرور SMTP)، والعقود (التوقيعات الملزمة قانونياً). نتعامل مع كل منها بالجدية التي يستحقها. الأقسام أدناه تصف بالضبط ما يعمل في الإنتاج · وليس ما هو موجود في عرض تقديمي.

• دفاع متعدد الطبقات
• الحد الأدنى من الصلاحيات
• نطاق تأثير محدود
• قابل للتدقيق

• Bcrypt+2FA: تشفير محسّن مع مصادقة ثنائية بتقنية TOTP
• 30 دقيقة: رموز وصول قصيرة الأمد مع تحديث دوري
• صارم: حدود استدعاءات واجهة برمجية لكل عنوان IP وقفل تلقائي عند الاستخدام المسيء
• 24h: إيقاف تلقائي إذا بدت أنماط الإرسال غير طبيعية

الهوية والمصادقة

المصادقة تعتمد على ملفات تعريف الارتباط. رموز الوصول JWT لا تلمس أبداً localStorage، مما يلغي فئة كاملة من سرقة الرموز عبر XSS.

• تجزئة كلمات المرور: bcrypt مع عامل تكلفة مضبوط لجعل الهجوم بالقوة الغاشمة مكلفاً حسابياً.
• سياسة كلمة المرور (NIST 800-63B): حد أدنى 10 أحرف، 3 من 4 فئات أحرف، قائمة سوداء بأكثر 100 كلمة مرور مسربة، كاشف تسلسلات لوحة المفاتيح، كاشف الأحرف المتكررة، لا يمكن أن تحتوي على الجزء المحلي من بريدك الإلكتروني أو رموز 4+ أحرف من اسمك. فحص k-anonymity من HaveIBeenPwned عند كل تسجيل وتغيير كلمة مرور.
• المصادقة الثنائية: كلمة مرور لمرة واحدة تعتمد على الوقت (TOTP، RFC 6238) عبر أي تطبيق مصادقة. رموز احتياطية لمرة واحدة للاسترداد.
• رموز الوصول: JWT موقّع قصير الأمد يُسلّم كملف تعريف ارتباط HttpOnly; Secure; SameSite=Lax.
• رموز التحديث: رموز دوّارة · كل تحديث يصدر رمزاً جديداً تماماً ويُبطل السابق.
• كشف إعادة الاستخدام: إذا أُعيد تشغيل رمز تحديث قديم (أي أن المهاجم سرقه)، تُمسح عائلة الرموز بالكامل من جانب الخادم، مما يُخرج كلاً من المستخدم الشرعي والمهاجم، ويُطلق تنبيه عالي الخطورة.
• الحماية من الهجوم الغاشم: محاولات تسجيل الدخول الفاشلة المتكررة تُفعّل قفل مؤقت للحساب. الارتفاعات غير الطبيعية في الفشل من عنوان IP واحد تُطلق تنبيهات شذوذ.
• دعم مفاتيح المرور: مفاتيح مرور مدعومة بالأجهزة WebAuthn / FIDO2 لتسجيل دخول مقاوم للتصيد.
• الأجهزة الموثوقة: ثقة جهاز بنافذة قصيرة مع ربط IP لإعادة مصادقة مبسطة.

التشفير

أثناء النقل: بروتوكول TLS 1.3 مُفعّل في كل مكان. تحميل مسبق لـ HSTS مع max-age طويل وتغطية كاملة للنطاقات الفرعية.

أثناء التخزين: بيانات الاعتماد الحساسة للأطراف الثالثة مُشفّرة بتشفير موثّق معياري قبل وصولها إلى قاعدة البيانات. فك التشفير يحدث فقط لحظة الاستخدام، في الذاكرة.

غلاف إصدارات: الكتل المُشفّرة تحمل بادئة إصدار لتمكين تبديل الخوارزميات دون كسر الأرشيف.

التخزين: أحجام قاعدة البيانات مُشفّرة بـ AES-256 على مستوى طبقة التخزين. النسخ الاحتياطية ترث نفس التشفير.

• رموز OAuth لـ Gmail: access_token + refresh_token مُشفّرة قبل التخزين
• رموز OAuth لـ Outlook: access_token + refresh_token مُشفّرة قبل التخزين
• رموز Google Calendar: للقراءة فقط · مُشفّرة مثل رموز البريد
• كلمات مرور SMTP: كلمات مرور اتصال صندوق الوارد محمية عند الكتابة

أمان التطبيق

• تحديد المعدل العام: حدود صارمة لكل (مستخدم مصادق عليه أو IP) على كل مسار /api/*. يُرجع 429 مع تلميح Retry-After عند التجاوز.
• حدود لكل مسار: حدود أكثر صرامة على تسجيل الدخول والتسجيل وإعادة تعيين كلمة المرور وتوليد الذكاء الاصطناعي ونقاط وصول الضيوف عبر الروابط العامة.
• اكتمال تدقيق IDOR: يتم تصفية كل استعلام متعدد المستأجرين حسب (resource_id, user_id). تم إصلاح التسريبات بين المستأجرين في تسلسلات التواصل والعقود والملخصات ونقاط وصول المبدعين المرتبطة.
• حذف البيانات الشخصية من السجلات: يتم تنظيف رسائل البريد الإلكتروني وJWT ورؤوس Authorization وأرقام البطاقات وأرقام الهواتف في طبقة المسجل قبل الكتابة على القرص.
• رؤوس الأمان: Content-Security-Policy وX-Frame-Options: DENY وX-Content-Type-Options: nosniff وReferrer-Policy strict-origin-when-cross-origin وPermissions-Policy لقفل الكاميرا والميكروفون والموقع الجغرافي والدفع.
• تعزيز رفع الملفات: قائمة سوداء للامتدادات وقائمة بيضاء MIME وفحص البايتات السحرية (يرفض PE/ELF/Mach-O/shebang/HTML/PHP) وتنظيف أسماء الملفات واستجابات تنزيل معزولة للأنواع غير الوسائط.
• التحقق من توقيع Webhook: تفشل webhooks الخاصة بـStripe تمامًا عندما يكون سر التوقيع غير محدد · لا يمكن للإنتاج قبول أحداث غير موقعة.
• سلامة التوقيع: يتم التحقق من حجم توقيعات العقود على جانب العميل والخادم · يتم رفض ملفات PNG الشفافة 1x1 والحمولات الفارغة.

كشف التهديدات ومراقبتها

يعمل نظام كشف الشذوذات بشكل مستمر. يتم إلغاء تكرار التنبيهات وتوجيهها إلى صندوق الوارد الأمني الخاص بنا. تحتوي حمولات التنبيه على معرفات مستخدم مشفرة بـSHA256 · يظل جدول التنبيهات خاليًا من البيانات الشخصية.

سجل تدقيق المسؤول: يتم تسجيل كل إجراء ذي امتيازات (انتحال الشخصية، تغيير الخطة، منح الرصيد، إعادة تعيين كلمة المرور) في admin_audit_log غير قابل للتغيير مع IP الفاعل وuser agent.

• هجمات حشو بيانات الاعتماد: محاولات تسجيل دخول فاشلة متكررة تستهدف بريدًا إلكترونيًا واحدًا
• هجوم القوة الغاشمة على مستوى IP: ارتفاعات غير طبيعية في الفشل من عنوان IP واحد
• عواصف الحظر: موجات حظر الحسابات في فترة قصيرة
• حجم إرسال غير عادي: أنماط صادرة غير طبيعية عبر المستخدمين
• إعادة استخدام رمز التحديث: إعادة تشغيل رمز تحديث تم تدويره
• ارتفاعات في معدل الارتداد: يوقف المُرسِل تلقائياً عند تجاوز العتبات الآمنة

أمان البريد الإلكتروني وقابلية التسليم

• حدود يومية للإرسال حسب الخطة: تمنع استخدام الحسابات المخترقة كوسائط لإرسال الرسائل المزعجة.
• قاطع الارتداد: يوقف الطيار الآلي مؤقتاً لمدة 24 ساعة عندما تتجاوز معدلات الارتداد الحدود الآمنة.
• المصادقة: التحقق من توافق SPF وDKIM وDMARC لكل نطاق متصل.
• نطاقات OAuth: نطلب النطاقات المناسبة للميزات التي تفعّلها (مثل قراءة صندوق البريد، والإرسال باسمك، وقراءة التقويم).
• معالجة المحتوى: تتم معالجة محتوى البريد الإلكتروني لتشغيل الميزات التي فعّلتها، وقد تُخزَّن البيانات الوصفية ومحتوى محدود مؤقتاً وفقاً لجدول الاحتفاظ لدينا.

حماية البيانات وGDPR

صُمّم ChamsPilot مع مراعاة مبادئ GDPR. ونقاط النهاية أدناه مفعّلة حالياً.

• المعالجون الفرعيون: تتولى Stripe المدفوعات. ويشغّل ELDIN AI جميع ميزات الذكاء الاصطناعي (استدلال عابر لا يُستخدم أبداً لتدريب أي نموذج). وتعمل الاستضافة على بنية تحتية بمستوى المؤسسات في الاتحاد الأوروبي والولايات المتحدة. ويُسلَّم البريد الصادر عبر بنية بريد إلكتروني موثوقة. ويُستعان بالمعالجين الفرعيين الخارجيين بموجب شروط مناسبة لمعالجة البيانات.
• موقع تخزين البيانات: البنية التحتية الأساسية في مناطق داخل الاتحاد الأوروبي والولايات المتحدة. وتعتمد عمليات النقل عبر الحدود، حين تحدث، على آليات نقل مناسبة (مثل البنود التعاقدية القياسية).
• الاحتفاظ: مدد احتفاظ تقريبية · نحو 90 يوماً بعد إغلاق الحساب للبيانات الشخصية، وحتى 7 سنوات للسجلات المالية، وحتى 12 شهراً لسجلات الأمان. وقد تختلف المدد الفعلية بحسب الالتزامات القانونية.
• لا بيع للبيانات الشخصية: لا نبيع البيانات الشخصية مقابل عوض مالي. وحيثما يعتمد القانون المعمول به تعريفاً أوسع لـ«البيع» أو «المشاركة»، نلبّي طلبات الانسحاب وفق ما يقتضيه.
• تدريب الذكاء الاصطناعي: لا نقدّم محتواك لمزوّدي الذكاء الاصطناعي بغرض تدريب نماذجهم الأساسية.
• GET /api/gdpr/export: المادة 15 · تُرجع سجلك الكامل: الملف الشخصي، الملخصات، النصوص، الفواتير، جهات الاتصال، التسلسلات، المدفوعات، وكلا جانبي كل صفقة أنت طرف فيها. الرموز، تجزئات كلمات المرور، وأسرار المصادقة الثنائية تُزال.
• POST /api/gdpr/delete: المادة 17 · تتطلب عبارة التأكيد DELETE MY ACCOUNT. تُجهِّل سجل المستخدم الخاص بك (تحفظ _id لسلامة FK)، تحذف صلباً القطع الشخصية، تمسح رموز التحديث والتكاملات المتصلة، وتكتب مدخل تدقيق أمني.

إدارة المفاتيح

• مفتاح التشفير الرئيسي: مُخزَّن فقط في مخزن الأسرار الإنتاجي لدينا. لا يُلتزَم أبداً بـ git، لا يُسجَّل أبداً.
• إجراء التدوير: أداة تدوير مفاتيح مخصَّصة تفك تشفير كل كتلة مختومة بالمفتاح السابق وتُعيد ختمها بالمفتاح الجديد. الإجراء متماثل القوة وقابل للتشغيل الجاف.
• مفتاح توقيع JWT: منفصل عن مفتاح التشفير عند التخزين. التدوير يُبطل الجلسات النشطة بنظافة.
• أسرار الإنتاج: موفّر أسرار قابل للتوصيل يُجرِّد مدير الأسرار على مستوى المؤسسة خلف استدعاء واحد للترطيب عند الإقلاع. .env يبقى المسار للتطوير المحلي · حاويات الإنتاج تُرطِّب os.environ من الموفّر المهيَّأ عند البدء.

الاستجابة للحوادث

إذا اكتشفنا أو أُخطِرنا بحادث أمني:

النسخ الاحتياطية: لقطات قاعدة بيانات مشفَّرة يومية مع احتفاظ لـ 30 يوماً. الاستعادة تُختبَر فصلياً.

RPO لاستعادة الكوارث: 24 ساعة. RTO: 4 ساعات.

• < 1 ساعة: فرز، تحديد النطاق، واحتواء
• < 24 ساعة: إخطار أي مستخدم كانت بياناته في خطر
• < 72 ساعة: إخطار الجهة التنظيمية عند الطلب (GDPR المادة 33)

الإبلاغ عن الثغرات

نرحب بالأبحاث الأمنية. إذا وجدت شيئاً، يُرجى إخبارنا قبل إخبار أي شخص آخر.

ملاذ آمن للبحث بحسن نية:

أبلغ عن النتائج إلى [email protected]. للتقارير الحساسة، اطلب مفتاح PGP الخاص بنا في بريدك الأولي وسنرد ببصمة الإصبع.

إقرار خلال 48 ساعة، تصنيف الخطورة خلال 5 أيام عمل، جدول زمني للإصلاح يُبلَّغ بناءً على الخطورة. رصيد قاعة المشاهير متاح عند الطلب.

• اختبر فقط حسابات تملكها أو لديك إذن صريح لاختبارها.
• لا حرمان من الخدمة، لا بريد عشوائي، لا هندسة اجتماعية لطاقمنا أو مستخدمينا.
• لا تصل، تعدّل، أو تدمّر بيانات مستخدمين آخرين.
• امنحنا نافذة معقولة (عادة 90 يوماً) قبل الإفصاح العام.

حدود الثقة وتدفق البيانات

يُنظَّم ChamsPilot في أربع مناطق ثقة، تطبّق كل منها ضوابطها الخاصة:

تدفق البيانات الأساسي: ينتقل الطلب من المتصفح إلى شبكة CDN، ثم إلى تطبيق الصفحة الواحدة، ثم إلى واجهة برمجة التطبيقات المُصادَق عليها، وأخيرًا إلى قاعدة البيانات. تستخدم عمليات التكامل الخارجية رموز OAuth خاصة بكل مستخدم، مشفَّرة أثناء التخزين ومُرسَلة عبر TLS فقط؛ وتُشغَّل ميزات الذكاء الاصطناعي بواسطة Eldin، ذكاؤنا الاصطناعي الخاص.

• من الإنترنت العام إلى حافة CDN: جدار حماية تطبيقات ويب مُدار، وإنهاء TLS 1.3، وتدبيس OCSP، والحماية من هجمات DDoS وتحديد المعدل.
• من الحافة إلى طبقة الويب: يُقدَّم التطبيق خلف Content-Security-Policy صارمة وHSTS ورؤوس استجابة مُحصَّنة.
• من طبقة الويب إلى طبقة التطبيق: يجري التحقق من كل مسار واجهة برمجة تطبيقات عبر رموز JWT قصيرة العمر، ويُتحقق منه بحمايات ضد الحقن وبالتحقق من المخطط.
• من طبقة التطبيق إلى قاعدة البيانات: تتطلّب قاعدة البيانات مصادقة ولا يمكن الوصول إليها إلا عبر شبكة داخلية خاصة، دون منفذ عام.

تصنيف البيانات ومستويات الحماية

تُصنَّف جميع البيانات، وتحمل كل فئة متطلبات حماية محدّدة:

نطبّق على كل فئة TLS 1.3 أثناء النقل، ونُسخًا احتياطية مشفَّرة بـ AES-256 أثناء التخزين باستبقاء 14 يومًا، ومبدأ الحد الأدنى من الامتيازات.

• الأسرار وبيانات الاعتماد: (رموز OAuth ومفاتيح API): مشفَّرة أثناء التخزين باستخدام تشفير مُصادق عليه بمعيار AES-256، وTLS أثناء النقل، ولا تُسجَّل في السجلات أبدًا.
• البيانات الشخصية: (الأسماء وعناوين البريد والملفات الشخصية): تحكّم بالوصول مقصور على المالك، ومُضمَّنة في النُّسخ الاحتياطية المشفَّرة، ومشمولة بحقوق التصدير والحذف وفق اللائحة العامة لحماية البيانات.
• بيانات الأعمال: (الصفقات والعقود والرسائل): محميّة بتحكّم بالوصول قائم على أدوار المالك والفريق.
• البيانات التشغيلية والتحليلية: غير حسّاسة ومجمَّعة.

تسجيل الوصول والتدقيق

يُسجَّل النشاط المتعلّق بالأمان ليتمكّن المسؤولون المصرَّح لهم من اكتشاف إساءة الاستخدام والتحقيق فيها، دون تخزين القيم الحسّاسة نفسها إطلاقًا.

تُحفظ سجلات الوصول بما يتوافق مع التزاماتنا لحماية البيانات، وتتاح للمسؤولين المصرَّح لهم فقط.

• الإجراءات الإدارية: تُكتَب في سجل تدقيق مخصّص يتضمّن الفاعل والإجراء والطابع الزمني وعنوان IP المصدر.
• أحداث المصادقة والجلسات: (عمليات الدخول والأجهزة الموثوقة والحالات الشاذّة) تُسجَّل للمراجعة.
• لا تُسجَّل القيم الحسّاسة أبدًا: تُخزَّن كلمات المرور ورموز الجلسات بصيغة مُجزَّأة أو غير قابلة للعكس فقط، ولا تُكتَب تفاصيل الدفع في السجلات مطلقًا.

خارطة طريق الامتثال

أين نحن اليوم وإلى أين نتجه.

المحتملون على مستوى المؤسسات: استبيان أمان البائع (VSQ) وأحدث قائمة معالجي بيانات فرعيين متاحة تحت اتفاقية عدم إفصاح · راسل [email protected].

• مباشر: CASA (تقييم أمان تطبيقات السحابة) - اجتياز مراجعة مستقلة متوافقة مع OWASP ASVS
• مباشر: نقاط نهاية GDPR المادة 15 (تصدير) والمادة 17 (حذف)
• مباشر: تعامل مع البيانات وخيار الانسحاب متوافق مع CCPA
• مباشر: تقليل نطاق PCI · بيانات البطاقة تُعالَج حصرياً بواسطة Stripe
• قيد التنفيذ: انطلاق تدقيق SOC 2 Type II
• مخطَّط: شهادة ISO 27001 (بعد SOC 2)
• مخطَّط: تقرير اختبار اختراق (سنوي، متاح تحت اتفاقية عدم إفصاح)

التواصل مع الأمان

لأسئلة الأمان، تقارير الثغرات، أو طلبات اتفاقية معالجة البيانات / استبيان أمان البائع:

فريق أمان ChamsPilot · تقارير الثغرات: [email protected] · طلبات الخصوصية والبيانات: [email protected] · المؤسسات واتفاقية معالجة البيانات: [email protected]

• شروط الخدمة
• سياسة الخصوصية
• سياسة ملفات تعريف الارتباط
• مركز المساعدة
• التوثيق
• حالة النظام