الأمان

الحسابات

• كلمات المرور تُشفَّر بالتجزئة، ولا تُخزَّن أبدا بصيغة مقروءة، ولا تُرسل إلينا في بريد إلكتروني.
• يمكنك تسجيل الدخول عبر Google بدلا من ذلك، فلا تكون هناك كلمة مرور إضافية تضيع منك.
• يُتحقق من عناوين البريد الإلكتروني قبل أن يصبح الحساب قابلا للاستخدام.
• الجلسات محفوظة في كوكيز لا تستطيع JavaScript قراءتها ولا تُرسل إلا إلينا.

مادتك

• الملفات المرفوعة تعيش في تخزين كائنات خاص. ولا يتحدث المتصفح إلى ذلك التخزين مباشرة أبدا — بل يُجلب كل ملف عبر التطبيق، الذي يتأكد أولا أنه ملكك.
• مسارات الملفات يولّدها الخادم. ولا يستطيع أي طلب أن يطلب ملفا بذكر مساره.
• تُفحص الملفات المرفوعة ببصمة الملف، لا باسمه وحده، ولها حد أقصى للحجم.
• كل ما تجرّبه على الصفحة الرئيسية قبل التسجيل محصور في تلك التجربة ويُحذف خلال 24 ساعة.

التطبيق

• كل شيء يُقدَّم عبر HTTPS، مع HSTS.
• سياسة أمان محتوى برموز nonce لكل طلب تحدّ مما يمكن تشغيله داخل الصفحة.
• الطلبات التي تغيّر البيانات يُتحقق من مصدرها لمنع تزوير الطلبات عبر المواقع.
• حدود المعدل تقف أمام تسجيل الدخول ورموز الصفوف واستدعاءات الذكاء الاصطناعي وأداة الصفحة الرئيسية المجهولة.
• صلاحية الإدارة تُمنح من إعدادات الخادم فقط. ولا يوجد دور يمكن منحه من داخل التطبيق.

المدفوعات

بيانات البطاقة تذهب مباشرة إلى Stripe أو Mollie ولا تصل إلى خوادمنا أبدا. وخطافات الدفع يُتحقق من توقيعها وتُعالج مرة واحدة، فلا تستطيع رسالة معادة أن تخصم مرتين أو تضيف رصيدا مرتين.

الإبلاغ عن ثغرة

إن وجدت مشكلة أمنية، فأخبرنا قبل أن تخبر أي أحد آخر، وامنحنا مهلة معقولة لإصلاحها. أبلغ عنها عبر صفحة الاتصال بنا وأدرج تفاصيل تكفي لإعادة إنتاجها.

لن نلاحقك على بحث بحسن نية يحترم بيانات الآخرين: لا تدخل إلى حساب ليس لك ولا تعدّله، ولا تجرِ اختبارات حجب الخدمة، وتوقف فور أن تثبت وجهة نظرك.

للتأكيد قبل الإطلاق: عنوان تواصل أمني مخصص، ومهلة الإفصاح وهل تقدمون مكافأة، إضافة إلى /.well-known/security.txt يشير إليه.