الأمان

يعمل كل استعلام ضمن نطاق مؤسسة ينتمي إليها المستخدم المسجَّل؛ ويأتي معرّف المؤسسة من الجلسة على الخادم لا من العميل. وإذا حاولت الوصول إلى مؤسسة لست عضوًا فيها فلا نكشف حتى ما إذا كانت موجودة.

سبعة أدوار (المالك، المدير، مدير المشروع، محرر النماذج، مسؤول الحالات، المحلل، المشاهد) وصلاحياتها معرَّفة في مكان واحد. تُجرى فحوص الصلاحيات على الخادم لا في الواجهة، ويُرفض أي إجراء غير مصرَّح به.

تُسجَّل الإجراءات المهمة على المؤسسات والعضويات والنماذج والملاحظات والطلبات والمشاريع والمؤشرات مع من نفّذها ومتى. لا يرى السجلات إلا الأدوار المصرَّح لها، ولا يُكتب في السجل محتوى مثل نص الإجابات ومتن الملاحظات.

تتم المصادقة عبر Better Auth؛ ولا تُخزَّن كلمات المرور نصًا صريحًا بل مُجزَّأة باستخدام scrypt.

يستعلم مقدّم الطلب عن حالته برقم مرجعي ومفتاح تتبع سري. يُخزَّن المفتاح مُجزَّأً فقط (SHA-256) وتتم المقارنة بزمن ثابت. المحاولات الخاطئة محدودة: بعد 5 أخطاء لرقم مرجعي واحد أو 20 لعنوان IP واحد خلال 15 دقيقة تُحظر المحاولات التالية.

تُرسل جميع الاستجابات ترويسات X-Content-Type-Options وReferrer-Policy وX-Frame-Options (لا يمكن تضمين الصفحات في مواقع أخرى) وPermissions-Policy. وصفحات اللوحة وتسجيل الدخول والتتبع مغلقة أمام محركات البحث.

يُقدَّم الموقع عبر HTTPS مع تفعيل ترويسة HSTS؛ وبعد زيارة واحدة لا يعود المتصفح إلى HTTP.

قد تُعطّل CSP المضافة دون اختبار التطبيق بصمت، لذلك ستُضاف في جولة الاختبار قبل الإطلاق.

يتم تسجيل الدخول بالبريد الإلكتروني وكلمة المرور فقط.

لم يكتمل أي تدقيق أمني مستقل أو عملية اعتماد؛ وعندما يحدث سنذكره هنا مع وثائقه.

صُمم المنتج ليُستضاف على خادم داخل تركيا؛ ولأننا لم نُطلق بعد فهذا ليس التزامًا قائمًا اليوم.