التدابير التقنية والتنظيمية

تُنشر هذه الوثيقة بلغات متعددة. في حال وجود أي تعارض بين النسخ اللغوية، تكون النسخة البولندية هي الملزمة.

الإصدار 1.1 · آخر تحديث: 22 أكتوبر 2026

التدابير بموجب المادة 32 من اللائحة العامة لحماية البيانات (GDPR) التي تحمي بها LW IT Solutions Company Lukas Wójcik، al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland، خدمة formexposed. وتشكل هذه الصفحة جزءا من اتفاقية معالجة البيانات بوصفها الملحق 2.

1. النطاق والمبدأ

تسري التدابير على جميع البيانات التي تعالجها الخدمة: البيانات التي نعالجها نيابة عن عملائنا (الموصوفة في اتفاقية معالجة البيانات)، والبيانات التي نكون نحن المتحكم في بياناتها، مثل حسابات العملاء والسجلات. ولا توجد مستويات حماية منفصلة للفئتين؛ فما يحمي الحساب يحمي أيضا البيانات المعالجة بصفتنا معالج بيانات.

البنية بموجب المادة 32(1) من اللائحة العامة لحماية البيانات (GDPR). يتناول القسم 4 استخدام الأسماء المستعارة والتشفير (النقطة (a))؛ وتتناول الأقسام 3 و5 و6 و7 السرية والسلامة والتوافر والمرونة المستمرة للأنظمة (النقطة (b))؛ ويتناول القسم 7.1 القدرة على استعادة التوافر في الوقت المناسب بعد حادث (النقطة (c))؛ ويتناول القسم 9 عملية الاختبار والتقدير والتقييم المنتظم للفعالية (النقطة (d)). واخترنا التدابير بناء على المخاطر الموصوفة في تقييم أثر حماية البيانات لدينا، مع مراعاة أحدث التقنيات وتكاليف التنفيذ.

المبدأ: الواقع المقاس بدلا من النية. لا يذكر هنا إلا ما نفذ فعلا في الشفرة أو في التشغيل. وما هو مخطط له ولم ينفذ بعد يدرج صراحة بوصفه «مخططا له» في القسم 10. ولا يعد التدبير غير المذكور هنا مطبقا ضمنا.

لا تذكر عمدا أسماء الأجهزة أو العناوين الداخلية أو المنافذ أو أسماء المستخدمين أو إصدارات البرامج. فهي لا تساعد أحدا على تقييم التدابير، لكنها تساعد من يريد تجاوزها. ومن يحتاج إليها لتدقيق بموجب اتفاقية معالجة البيانات يتلقاها أثناء ذلك التدقيق مع الالتزام بالسرية، بالقدر اللازم للتدقيق.

2. بنية الخدمة

تعمل الخدمة على خادمين خاصين بالمزود في بولندا، يقعان في الشبكة الداخلية نفسها:

• خادم ويب مع قاعدة بيانات. يقدم التطبيق ويحتفظ بقاعدة البيانات ويرسل الإشعارات وينسخ البيانات احتياطيا. وهو وحده المعد لقبول الطلبات من الإنترنت.
• خادم الفحص. يجري فحوص مواقع الغير ومواقعنا في متصفح، ويشغل النموذج اللغوي الذي يصنف نماذج محددة ويلخص نتائج الفحص في خطط عمل مرتبة حسب الأولوية للحسابات المدفوعة ويضيف شفرة في «Fix it for me». وهو غير معد لقبول الطلبات من الإنترنت، بل يجلب مهامه بنفسه من خادم الويب ويعيد النتائج إليه.

لا يشارك مزود استضافة أو مركز بيانات أو خدمات سحابية في التشغيل، ولا يرسل أي شيء إلى خدمة ذكاء اصطناعي خارجية. وترد الأطراف الثالثة التي تتلقى بيانات في صفحة معالجي البيانات الفرعيين.

3. السرية

3.1 التحكم في الوصول المادي

تقع الخوادم في مقر تابع للمزود في بولندا غير مفتوح للجمهور. ولا يملك حق الوصول إلا المالك (وفقا لبيان المشغل). ولا يذكر عمدا هنا عنوان الموقع الدقيق.

3.2 التحكم في الوصول: تسجيل الدخول إلى الخدمة

• كلمات المرور لا تحفظ إلا كتجزئة باستخدام الطريقة القياسية في PHP (bcrypt). وإذا تغيرت الطريقة القياسية، تجدد التجزئة عند تسجيل الدخول التالي. وعند محاولة تسجيل الدخول بعنوان غير معروف، يحسب الخادم تجزئة أيضا، كي لا يكشف زمن الاستجابة وجود حساب من عدمه. كذلك لا تكشف الاستجابة لطلب إعادة تعيين كلمة المرور، لا بصياغتها ولا بمدتها، ما إذا كان الحساب موجودا؛ ولا ترسل رسائل إعادة التعيين إلى العنوان نفسه أكثر من ثلاث مرات في الساعة. ويجب ألا يقل طول كلمات المرور الجديدة عن عشرة أحرف وألا يتجاوز 72 بايت (UTF-8)، لأن bcrypt لا يأخذ بايتات أكثر في الحسبان. ويؤدي تغيير كلمة المرور إلى تسجيل خروج جميع الأجهزة الأخرى؛ وتؤدي إعادة تعيينها عبر الرابط إلى تسجيل خروج جميع الأجهزة، ولا يصلح الرابط إلا مرة واحدة.
• الحظر بعد المحاولات الفاشلة. تحسب محاولات الدخول الفاشلة لكل عنوان IP؛ وبعد عدد كبير خلال مدة قصيرة (حاليا ثماني محاولات خلال 15 دقيقة)، يحظر تسجيل الدخول من ذلك العنوان مؤقتا. ويعيد تسجيل الدخول الناجح هذا العداد إلى الصفر. وتحذف المحاولات بعد سبعة أيام. وإضافة إلى ذلك، تحسب قبل كل فحص لكلمة المرور محاولة لكل حساب (وللعنوان غير المعروف، لكل عنوان مدخل) ولكل عنوان IP، بما فيها المحاولات الناجحة: حاليا بحد أقصى ثماني محاولات لكل حساب من عنوان IP نفسه و80 محاولة لكل عنوان IP خلال 15 دقيقة؛ ويسري حد أعلى بكثير لكل حساب عبر جميع العناوين مجتمعة لمواجهة التخمين الموزع. ولذلك لم تعد المحاولات الفاشلة من عنوان آخر تحرم المالك من الوصول إلى حسابه. ولا تحتوي هذه العدادات إلا على مفتاح HMAC دون عنوان بريد إلكتروني أو IP بنص واضح، وتنتهي بانتهاء نافذتها الزمنية. وإذا تعذر الوصول إلى مخزن العدادات، يرفض تسجيل الدخول ولا يسمح بمروره. ويسري نوع الحدود نفسه على تأكيد كلمة المرور قبل تغيير كلمة المرور أو العنوان، وتفعيل العامل الثاني أو تعطيله، ونقل مساحة عمل، وتصدير البيانات وحذف الحساب (خمس محاولات لكل حساب خلال 15 دقيقة)، وعلى التسجيلات (عشر محاولات لكل عنوان IP في الساعة)، وعلى كلمات مرور بوابات العملاء (عشر محاولات لكل بوابة وعنوان IP، و50 محاولة لكل بوابة خلال 15 دقيقة).
• العامل الثاني. يستطيع كل حساب تفعيل تسجيل الدخول برمز يستخدم مرة واحدة بموجب RFC 6238 (TOTP). ويحفظ السر الخاص بذلك مشفرا في قاعدة البيانات؛ ولا يحفظ المفتاح في قاعدة البيانات، ولذلك لا تكفي نسخة من قاعدة البيانات وحدها. ولا يصلح الرمز المقبول مرة ثانية. وتحفظ عشرة رموز استرداد كتجزئات فقط. وتقتصر محاولات الرموز ذات الاستخدام الواحد ورموز الاسترداد على عشر محاولات لكل حساب خلال 15 دقيقة، بما في ذلك أثناء الإعداد.
• منطقة الإدارة بالعامل الثاني فقط. لا تفتح منطقة إدارة المشغل إلا للحسابات التي فعلت العامل الثاني. وتبلغ قائمة التحقق للإعداد عن كل حساب مسؤول دون عامل ثان.
• الجلسات. لا تستطيع النصوص البرمجية قراءة ملف تعريف ارتباط الجلسة (HttpOnly)، ولا يرسل إلا عبر HTTPS (Secure)، ولا يرسل مع طلبات المواقع الخارجية التي قد تغير شيئا (SameSite=Lax). وعند تسجيل الدخول ينشأ معرف جلسة جديد، فلا يعود معرف مدسوس مسبقا صالحا؛ ولا يقبل الخادم معرف جلسة لم يصدره بنفسه. ويرى كل حساب أجهزته المسجل دخولها ويمكنه تسجيل خروجها كل على حدة.
• «إبقائي مسجلا للدخول» خيار اختياري صالح لمدة 30 يوما، لكنه لا يسري على الحسابات ذات صلاحيات الإدارة؛ فهي تسجل الدخول دائما بكلمة مرور وعامل ثان. ويتكون الرمز من جزأين؛ ولا يحفظ جزء التحقق في قاعدة البيانات إلا كتجزئة. ويستبدل كل استخدام الرمز بآخر جديد، وحتى عند الطلبات المتزامنة لا يصلح كل رمز إلا مرة واحدة، بحيث يكتشف الرمز المسروق في موعد أقصاه الزيارة الحقيقية التالية.
• الروابط في رسائل البريد الإلكتروني. لا تحفظ روابط تأكيد العنوان وإعادة تعيين كلمة المرور في قاعدة البيانات إلا كتجزئات. ويصلح رابط إعادة التعيين لمدة ساعة واحدة، ورابط تأكيد التسجيل لمدة 72 ساعة، ورابط تأكيد العنوان المعدل لمدة 24 ساعة. وعند تغيير عنوان البريد الإلكتروني، يصبح رابط إعادة التعيين المفتوح غير صالح.
• الواجهات. لا تحفظ مفاتيح API ورموز اتصال الإضافات ورموز التعميم إلا كتجزئات. ولا يمكن استخدام مفاتيح API إلا عددا محدودا من المرات في الدقيقة؛ وتصلح رموز اتصال الإضافات لمدة 15 دقيقة ولمرة واحدة فقط.
• الحماية من الروبوتات على النماذج العامة (التسجيل وتسجيل الدخول وكلمة المرور والفحص وأداة الترويسات والاستبعاد والدعم والاتصال): Google reCAPTCHA، الذي لا يحمل إلا عند الإرسال. ولا تقبل إلا استجابة صالحة من Google بدرجة كافية تخص إجراء النموذج نفسه بالضبط؛ وإذا لم يستجب Google خلال ثلاث ثوان، يرفض الإرسال. وترد التفاصيل في سياسة الخصوصية.

3.3 التحكم في الوصول: إدارة الخوادم

• يستخدم الخادم الذي يمكن الوصول إليه من الإنترنت مرشح حزم للسماح بالخدمات التي يقدمها فقط، ويحظر العناوين آليا بعد محاولات فاشلة متكررة لتسجيل الدخول إلى إدارة الخادم.
• تستخدم العمليات الآلية بين الخوادم مفاتيح خاصة بها ذات صلاحيات محدودة بدقة. ولا يجوز للمفتاح الذي يسلم به خادم الويب إصدارات الماسح الجديدة إلا تنفيذ قائمة ثابتة من الأوامر على خادم الفحص والنسخ إلى دليل الماسح بصلاحية كتابة فقط؛ ولا يمكن تسجيل دخول تفاعلي به، ويسجل كل أمر مرفوض. كذلك لا يجوز لخادم الفحص كتابة لقطات الشاشة إلا إلى دليل محدد على خادم الويب.
• لا تملك العملية التي تقدم الموقع صلاحية الكتابة إلى تثبيت الإنتاج ولا مفتاحا لخادم الفحص. ولا يؤدي النشر الذي يبدأ من منطقة الإدارة إلا إلى إدراج مهمة تنفذها عملية منفصلة.
• تحفظ الأسرار، مثل بيانات الوصول إلى قاعدة البيانات والمفاتيح، في ملفات إعداد خارج الدليل المقدم للزوار، ولا تنسخ مع النشر. ولا توزع إعدادات خادم الويب عبر واجهة الويب.

3.4 التحكم في التفويض: الصلاحيات داخل الخدمة

• الأدوار. لكل مساحة عمل أدوار المالك والمسؤول والقارئ. ويقتصر التغيير والحذف والدعوة وحفظ بيانات الوصول على المالكين والمسؤولين؛ ولا يجوز تغيير الأدوار وإزالة الأعضاء إلا للمالك. ولا تبقى الدعوة صالحة إلا ما دام مرسلها مالكا أو مسؤولا. ولا يرى القراء عناوين webhooks وقنوات المحادثة إلا مختصرة إلى المضيف، لأن العنوان وحده يسمح بالنشر في القناة. ويجرى التحقق على الخادم، لا في الواجهة وحدها.
• الربط بمساحة العمل. لا يمكن الوصول إلى النطاقات والإعدادات إلا لأعضاء مساحة العمل. وتنشئ الخدمة لكل فحص تقريرا تحت رابط عشوائي لا يمكن تخمينه؛ ويمكن الوصول عبره إلى نتائج الفحص ولقطات الشاشة دون تسجيل الدخول، ولا يمكن الوصول إلى لقطات الشاشة إلا مع رابط تقريرها. ويظهر الرابط في الحساب وفي التنبيهات؛ وكل من يمرره يمرر التقرير.
• الطلبات التي تغير الحالة تتطلب رمز أمان لكل جلسة (حماية CSRF)، تجري مقارنته بزمن ثابت.
• «العرض كعميل». لأغراض الدعم، يستطيع المشغل رؤية التطبيق كما يراه العميل. وينتهي العرض بعد ساعة واحدة، ويحظر تغيير كلمة المرور والعنوان والعامل الثاني والأجهزة والاشتراك والتصدير والحذف، ويغلق منطقة الإدارة أثناءه، ويسجل. ويؤدي إنهاؤه إلى تسجيل خروج المشغل بالكامل؛ ولا يستطيع العودة إلى منطقة الإدارة إلا بتسجيل الدخول مجددا بكلمة المرور والعامل الثاني. ويمكن للعميل رؤيته في تصدير بياناته.
• الإدارة. لا تملك صلاحيات الإدارة إلا حسابات قليلة مخولة صراحة؛ وتسجل كل إعادة تعيين للعامل الثاني بواسطة الإدارة.

3.5 التحكم في الفصل

• تفصل بيانات العملاء منطقيا بحسب مساحة العمل. ويحمل كل مسار للقراءة والكتابة في المنطقة المسجل دخولها هذا الربط؛ ويمكن أيضا الوصول إلى التقارير عبر رابطها (القسم 3.4).
• يجري التطوير والتشغيل في تثبيتين منفصلين بقواعد بيانات ومستخدمين منفصلين لقاعدة البيانات. ولا يستطيع مستخدم التطوير الوصول إلى قاعدة بيانات الإنتاج. ولا تنسخ بيانات عملاء حقيقية إلى التطوير؛ بل نعمل فيه ببيانات نموذجية مولدة.
• للماسح بيانات وصول خاصة بكل بيئة، بصلاحيات تقتصر على البيانات التي يحتاجها لمهامه. ولا يستطيع قراءة الحسابات أو الفوترة أو السجلات.
• تعمل أيضا خدمات أخرى للمزود نفسه على خادم الويب. ولها قواعد بياناتها ومستخدمو قواعد بياناتها دون إمكانية الوصول إلى بيانات هذه الخدمة.

4. التشفير واستخدام الأسماء المستعارة وتقليل البيانات

4.1 بيانات الوصول للفحص خلف تسجيل الدخول

يحفظ العميل لهذه الوظيفة اسم المستخدم وكلمة المرور لحساب اختبار. وهما أكثر البيانات حساسية في الخدمة، ولذلك يحميان بطريقة مختلفة عن سائر البيانات:

• عند حفظهما، يشفرهما خادم الويب بالمفتاح العام لخادم الفحص (ECIES: X25519 بمفتاح يستخدم مرة واحدة لكل سجل، HKDF-SHA256، AES-256-GCM). ولا يوجد المفتاح الخاص إلا على خادم الفحص. ولا يحتوي خادم الويب وقاعدة البيانات والنسخ الاحتياطية إلا على نص مشفر؛ ولا نستطيع نحن أيضا قراءته هناك.
• يربط كل سجل تشفيريا بنطاقه. وإذا نقل إلى نطاق آخر، يفشل فك التشفير.
• لإجراء فحص، يرفق النص المشفر بالمهمة. ويفك خادم الفحص تشفيره ويمرر بيانات الوصول إلى حاوية الفحص عبر الإدخال القياسي فقط، ولا يمررها مطلقا كوسيط لسطر الأوامر قد يظهر في قوائم العمليات. وبمجرد أن يقرأه خادم الفحص، يحذف النص المشفر من المهمة؛ وتمسح عملية دورية أي بقايا في موعد أقصاه ساعة واحدة.
• لا تعرض بيانات الوصول مطلقا، ولا تسجل، ولا تخرج عبر API، ولا تصدر. ولا تعرض الواجهة إلا الحرف الأول من اسم المستخدم وطوله. وتؤدي إزالتها إلى الكتابة فوق النص المشفر.
• خلف تسجيل الدخول، يقرأ الماسح فقط: دون إرسال أو اختبار نشط أو لقطات شاشة أو صفحات لتسجيل الخروج أو الحذف أو الإلغاء.

4.2 مزيد من التشفير والتجزئات

• لا تحفظ كلمات المرور ورموز الاسترداد وكلمات مرور بوابات العملاء ومفاتيح API ورموز الاتصال والتعميم ورموز «إبقائي مسجلا للدخول» ومعرفات الجلسات في قائمة الأجهزة وروابط التأكيد وإعادة التعيين إلا كتجزئات.
• تحفظ أسرار العامل الثاني مشفرة (القسم 3.2).
• لا ندعي تشفير قاعدة البيانات بأكملها في حالة السكون. وتحمى القيم الحساسة كل على حدة كما هو موضح أعلاه.

4.3 تقليل البيانات بحكم التصميم

• فحص التسليم: لا تقرأ إلا الترويسات وما لا يزيد على أول 8 كيلوبايت من النص. ولا يصل إلى قاعدة البيانات إلا الوقت والإسناد ومعرف الإرسالية الاختبارية عند الاقتضاء ونتيجة فحص الأصالة (SPF وDKIM وDMARC)، ولا يصل إليها المحتوى أو عنوان المرسل الكامل مطلقا. وتحتفظ نتيجة أصالة أحدث رسالة مع النطاق وتستبدلها الرسالة التالية؛ وتتضمن عنوان IP لخادم البريد الذي سلم الرسالة ونطاق بريد المرسل. وتحذف الرسالة من صندوق البريد بعد المعالجة الناجحة؛ وإذا فشل الجلب أو الحذف، يحدث ذلك عند العملية الناجحة التالية.
• الفحوص: تحفظ بنية النماذج مع أسماء الحقول وأنواعها وتسمياتها وسمات الإلزام والظهور، دون القيم؛ ويقرأ الماسح بدايات الحقول المخفية المعبأة مسبقا (حتى 24 حرفا) وسمات البيانات (حتى 60 حرفا) أثناء الفحص فقط ولا يخزنها. ولا يحجب محتوى لقطات شاشة الفحص الكامل؛ ولا تغطى حقول الإدخال إلا في فحوص المتصفح. ولا تحفظ عناوين مستلمي النماذج إلا كنطاق. ولا تحتوي الإرساليات الاختبارية النشطة إلا على نصوص اختبار موسومة دون بيانات شخصية.
• إضافتا WordPress وTYPO3 لا تنقلان إلا أرقاما يومية وخصائص مثل قائمة الإضافات، وفي حالة إضافة WordPress متصلة تنقل أيضا نطاقات الروابط في الرسائل المحظورة لحماية السرب (مفعلة افتراضيا)؛ دون أي محتوى آخر أو أسماء أو عناوين أو عناوين IP للزوار. وتكون العدادات الاختيارية لأخطاء النماذج والحقول معطلة افتراضيا.
• «Fix it for me»: لا تعالج الشفرة الملصقة إلا طوال مدة الطلب ولا تخزن.
• الشارة: لا تضع صورة الشارة على مواقع العملاء أي ملف تعريف ارتباط ولا تبدأ جلسة.
• إشعارات التشغيل إلى هاتف المشغل نصوص ثابتة دون متغيرات، أي دون أسماء أو عناوين أو محتوى. وتتضمن إشعارات الأخطاء المرسلة بالبريد الإلكتروني إلى المشغل النص الخام لرسالة الخطأ، دون تنقيح ومختصرا إلى 400 حرف؛ وقد يتضمن في حالات فردية عناوين أو روابط.
• حماية السرب: لا تشارك بين إضافات العملاء إلا نطاقات الروابط في الرسائل المزعجة المحظورة؛ وتبادل شبكات IP معطل.
• الموقع: يحدد بلد عنوان IP من ملف قاعدة بيانات محلي؛ ولا يرسل أي عنوان إلى خدمة لتحديد الموقع الجغرافي.

5. الحماية من إساءة استخدام الماسح

يحمل الماسح صفحات الغير بمتصفح حقيقي. ودون حماية، سيكون أداة يستطيع بها شخص من الخارج الوصول إلى شبكتنا الداخلية أو أهداف أخرى غير عامة (تزوير الطلبات من جانب الخادم). ولذلك توجد طبقتان مستقلتان مع عزل كل عملية تنفيذ على حدة.

5.1 التنفيذ المعزول

• يعمل كل فحص في حاويته الخاصة التي تزال بعد ذلك. ويعمل دون صلاحيات مسؤول ودون قدرات إضافية لنظام التشغيل ودون إمكانية تصعيد الامتيازات. ويكون نظام ملفاته للقراءة فقط باستثناء مساحات مؤقتة صغيرة.
• تحدد الذاكرة وعدد العمليات ووقت التنفيذ؛ وتنهى العملية التي تتجاوز الوقت.

5.2 الشبكة: طبقتان

• الطبقة الأولى، في الماسح: قبل الفحص ثم لكل طلب منفرد من المتصفح، بما في ذلك إعادة التوجيه والمحتوى المضمن، يجرى التحقق من الوجهة التي يحل إليها العنوان. وترفض الشبكات الخاصة والمحلية والمحجوزة وشبكات التوثيق (IPv4 وIPv6)، وكذلك المنافذ غير المعتادة للويب. ولا يسمح المتصفح بعاملات الخدمة، وتغلق اتصالات WebSocket، لأن كليهما قد يتجاوز هذا التحقق.
• الطبقة الثانية، في الشبكة: تعمل الحاويات في شبكتها الخاصة. ولا تسمح قواعد جدار الحماية باتصالات منها إلى الإنترنت إلا عبر منافذ الويب؛ وتحظر الاتصالات إلى الشبكات الخاصة، بما فيها شبكتنا الداخلية التي تضم خادم الويب وقاعدة البيانات. وتقتصر الاستثناءات التي يحتاجها تنفيذ الفحص نفسه على الضروري وتوصف في وثائقنا الداخلية. وتعمل هذه الطبقة أيضا إذا لم يحل الاسم إلى وجهة مختلفة إلا بعد التحقق الأول.

5.3 الطلبات التي يجريها خادم الويب

عندما يطلب خادم الويب نفسه عناوين الغير، لإثبات التحكم في النطاق أو لأداة الترويسات أو للبحث عن الملفات المكشوفة أو لطلبات النبض أو لاستعلامات RDAP أو لفحص الشهادات أو لتنبيهات webhooks والمحادثة أو لنقطة الفحص الثانية الاختيارية، تسري القواعد نفسها: بروتوكولات الويب فقط، على منافذ الويب المعتادة (وتنبيهات webhooks والمحادثة عبر HTTPS على المنفذ القياسي فقط)، وعناوين عامة فقط، واتصال بالعنوان الذي جرى التحقق منه مسبقا بالضبط، كي لا يمكن إعادة توجيه الاسم لاحقا إلى هدف داخلي، وعدم اتباع إعادة التوجيه مطلقا أو اتباعها يدويا فقط مع إعادة التحقق في كل مرة، وحدود زمنية قصيرة؛ وكذلك حجم استجابة محدود لإثبات التحكم في النطاق ولطلبات النبض ولنقطة الفحص الثانية في فحوص المتصفح.

5.4 ما لا يفعله الماسح على مواقع الغير

• لا تتوفر الإرساليات الاختبارية النشطة (بحد أقصى خمس إرساليات لكل فحص) للعملاء إلا للنطاقات التي قدم لها إثبات التحكم (DNS أو وسم meta أو ملف أو إضافة)؛ والاستثناء الوحيد هو الفحوص الداخلية لنطاقات الاختبار والعرض الخاصة بنا. ولا يمكن تغيير اسم مضيف نطاق ذي إثبات تحكم، كي لا ينتقل الإثبات إلى مضيف آخر. وكل ما عدا ذلك سلبي: قراءة الصفحات مثل الزائر.
• تصل فحوص المتصفح إلى النقطة السابقة للإرسال ولا تنفذ أي طلب شراء أو دفعة أو إرسال.
• لا تفحص النطاقات المدرجة في قائمة الاستبعاد؛ وتنتهي المراقبة المستمرة عند الفحص المجدول التالي.

6. السلامة: النقل والإدخال

6.1 النقل

• لا يمكن الوصول إلى التطبيق من الإنترنت إلا عبر HTTPS؛ ويوجه المتصفح إلى استخدام HTTPS فقط لمدة سنة واحدة (HSTS). وتجدد الشهادات آليا.
• تقيد ترويسات إضافية تضمين التطبيق في صفحات الغير وتخمين أنواع الملفات وإرسال النماذج إلى وجهات خارجية. ولا تسمح سياسة أمن المحتوى بتشغيل سوى النصوص البرمجية التي يجيزها الخادم مع الاستجابة المعنية؛ ولا تنفذ المتصفحات الحديثة النصوص البرمجية أو معالجات الأحداث المحقونة في HTML.
• يجلب صندوق بريد فحص التسليم عبر اتصال مشفر مع التحقق من الشهادة.
• يمكن توقيع webhooks بسر خاص بالعميل (HMAC-SHA256 مع طابع زمني)، كي يتمكن المستلم من التحقق من المصدر والسلامة. وتوقع الطلبات إلى نقطة الفحص الثانية الاختيارية، وكذلك استجاباتها في فحوص المتصفح.
• إيضاح صريح: الاتصالات داخل شبكتنا الداخلية ليست مشفرة بالكامل. وتظل بيانات الوصول للفحص خلف تسجيل الدخول مشفرة طوال المسار (القسم 4.1).

6.2 التحكم في الإدخال والسجلات

• تسجل الإجراءات المهمة في الحسابات ومساحات العمل (مثل تسجيل الدخول وتغييرات النطاقات ووجهات التنبيهات والصلاحيات والحذف ووصول الدعم) في سجل النشاط مع الحساب والوقت وعنوان IP والبلد، وتحذف بعد 365 يوما.
• تحذف سجلات الوصول إلى الصفحات المحفوظة للأمن ومنع إساءة الاستخدام بعد 60 يوما، وسجلات الأخطاء بعد 90 يوما، ومحتويات رسائل البريد الإلكتروني المرسلة بعد 30 يوما. ولا تظهر رموز الوصول في العناوين المطلوبة والإحالات، مثل رموز روابط التقارير أو البوابات، في سجلات الوصول إلى الصفحات إلا بصورة محجوبة.
• يحفظ قبول وثائق العقد مع الإصدار المعروض ومجموعه الاختباري والوقت وعنوان IP ومعرف المتصفح.
• يمكن تزويد سجلات الإثبات بطابع زمني من جهة خارجية لختم الوقت؛ ولا يرسل إليها إلا مجموع اختباري للمحتوى، دون المحتوى نفسه.

7. التوافر والمرونة

7.1 النسخ الاحتياطي

• تنسخ قاعدة البيانات احتياطيا كل ليلة. ولا تحصل النسخة الاحتياطية على اسمها النهائي إلا بعد فحص محتواها: اكتمال برنامج النسخ الاحتياطي بنجاح، ووجود سجل واحد على الأقل، وعدد جداول مساو لقاعدة البيانات، والسطر الختامي لتنفيذ مكتمل. ولا تزال النسخ الأقدم إلا بعد نجاح نسخة جديدة.
• تحذف كل نسخة احتياطية بعد 14 يوما. ويقع مكان التخزين خارج أي دليل مقدم عبر الويب؛ ويرفض الموقع داخل المشروع.
• اختبار الاستعادة: تحمل أحدث نسخة احتياطية مرة في الأسبوع إلى قاعدة بيانات مؤقتة، وتقارن بالإنتاج جدولا بجدول ثم تحذف مجددا. وتحفظ النتيجة.
• إذا فشلت نسخة احتياطية أو اختبار، يرسل إشعار بالبريد الإلكتروني وإلى هاتف المشغل.
• التعافي بعد حادث: إذا تعطلت قاعدة البيانات أو تلفت البيانات، نستعيد أحدث نسخة احتياطية مختبرة. وقد تفقد خلال ذلك التغييرات التي أجريت منذ تلك النسخة، وهي عادة تغييرات يوم واحد كحد أقصى؛ وإذا فشلت نسخة احتياطية، فقد يفقد أكثر من ذلك بحسب المدة. ثم نعيد تنفيذ طلبات الحذف اللاحقة المعروفة (القسم 8). ولا نلتزم بمدة تعاف محددة.
• قيد معلن بصراحة: تحفظ النسخ الاحتياطية حاليا في الموقع نفسه الذي توجد فيه قاعدة البيانات، ولا تشفر على نحو منفصل. وهي تحمي من أخطاء التشغيل والتغييرات الخاطئة وتلف البيانات، ولا تحمي من فقدان الخادم نفسه. ويخطط لنسخة مشفرة في موقع ثان (القسم 10).
• لا تتضمن النسخ الاحتياطية بيانات الوصول للفحص خلف تسجيل الدخول إلا كنص مشفر؛ ولا تتضمن سر العامل الثاني إلا مشفرا، بمفتاح خارج قاعدة البيانات.

7.2 المراقبة

• تفحص عملية حالة مكونات الخدمة كل خمس دقائق، بما فيها قاعدة البيانات وقائمة الانتظار ونبض الماسح الذي يكتبه بانتظام حتى في حالة الخمول. وإذا تعطل مكون، يرسل إشعار؛ وإذا تعافى، يرسل إشعار بزوال العطل.
• المراقبة المتبادلة: لا تستطيع عملية الحالة الإبلاغ عن تعطل الجهاز الذي تعمل عليه. ولذلك يتحقق خادم الفحص كل دقيقة من استجابة التطبيق، وبعد عدة حالات فشل متتالية يرسل نصا ثابتا إلى هاتف المشغل. وبالمقابل يراقب خادم الويب نبض الماسح؛ وتبين قائمة التحقق للإعداد ما إذا كانت المراقبة المتبادلة تعمل.
• تنبيه الأخطاء: يبلغ فورا مرة واحدة عن نوع خطأ لم يحدث من قبل؛ ولا يؤدي تراكم الأخطاء إلا إلى إشارة واحدة إلى هاتف المشغل؛ وترسل نظرة عامة مرة يوميا. وبذلك لا نعرف الخطأ لأول مرة من عميل.
• قيد معلن بصراحة: يقع الخادمان في الموقع نفسه. ولا تبلغ أي آلية تنبيه عن تعطل الموقع بأكمله، مثلا بسبب انقطاع الكهرباء أو اتصال الإنترنت، بل يلاحظه إنسان.

7.3 التغييرات والنشر

• تبنى الإصدارات الجديدة وتختبر أولا في بيئة التطوير المنفصلة. ويتحقق النشر من جميع المتطلبات قبل كتابة أول ملف، وينفذ تغييرات بنية قاعدة البيانات، ويتيح انتهاء الفحوص الجارية بصورة منظمة قبل إعادة تشغيل الماسح.
• يوجد اختبار أولي لمسار العميل الجديد عبر HTTP حقيقي، يجرى بعد التحويلات. ولا ندعي وجود حزمة اختبارات آلية قبل كل نشر منفرد.

8. الحذف ومدد الاحتفاظ

• تنفذ عملية حذف كل ليلة المدد المحددة في سياسة الخصوصية واتفاقية معالجة البيانات. وتقرأ الإعدادات نفسها التي تستمد منها الأرقام في النصوص؛ ولذلك لا يختلف النص والسلوك في هذه المدد.
• تحذف نتائج الفحص بما فيها لقطات الشاشة بعد 13 شهرا (مع بقاء أحدث فحص لكل نطاق)، وأرقام الإضافات بعد 13 شهرا، وسجلات تسليم التنبيهات بعد 90 يوما، وطلبات الدعم بعد 24 شهرا.
• تؤدي إزالة نطاق إلى حذف بياناته، بما فيها الفحوص والنماذج والنتائج ولقطات الشاشة والتقارير والمهام ووجهات التنبيهات وسجلاتها والحوادث وبيانات التسليم وبيانات الوصول للفحص خلف تسجيل الدخول والأدلة.
• يحذف الحساب فورا؛ وتحذف مساحات العمل التي ليس لها أعضاء آخرون مع بياناتها، وتنتقل المساحات ذات الأعضاء الآخرين إلى عضو آخر، مع أولوية المسؤولين ثم الأقدم بينهم. وتبقى حتى انتهاء مددها الخاصة: السجلات التي تحتفظ إدخالاتها برقم الحساب القديم، الذي لم يعد يشير إلى أي حساب موجود، بما فيها إدخال الحذف، وكذلك رسائل البريد الإلكتروني المرسلة وإثبات إبرام العقد وطلبات الدعم وتقارير فحوص العملاء المحتملين (حتى 90 يوما) وبيانات الفوترة لدى Stripe؛ وترد التفاصيل في سياسة الخصوصية.
• تبقى البيانات المحذوفة في النسخ الاحتياطية حتى انتهاء مدتها بعد 14 يوما. ولا يجرى حذف مستهدف داخل نسخة احتياطية؛ وإذا استعادت نسخة احتياطية، تنفذ طلبات الحذف اللاحقة المعروفة يدويا مجددا.

9. التنظيم والمراجعة

• الأشخاص: يشغل المالك الخدمة حاليا بنفسه. ولا يمنح أشخاص آخرون الوصول إلا بعد التعهد بالسرية وبالقدر اللازم فقط، ولا يعالجون البيانات إلا بناء على تعليماتنا (المادة 29 والمادة 32(4) من اللائحة العامة لحماية البيانات (GDPR)).
• معالجو البيانات الفرعيون: لا نستعين بهم إلا بعد مراجعة ضماناتهم وبموجب عقد وفقا للمادة 28(4) من اللائحة العامة لحماية البيانات (GDPR)، وندرجهم في صفحة معالجي البيانات الفرعيين؛ وتنظم التفاصيل اتفاقية معالجة البيانات.
• خروقات البيانات الشخصية: إذا أثر خرق للبيانات الشخصية في البيانات المعالجة بصفتنا معالج بيانات، نبلغ العميل دون تأخير غير مبرر، وفي غضون 48 ساعة إن أمكن؛ وتنظم التفاصيل اتفاقية معالجة البيانات.
• الإبلاغ عن الثغرات: نقبل البلاغات في الأمن وعبر الملف /.well-known/security.txt.
• قائمة التحقق للإعداد والإطلاق: تقيس قائمة تحقق في منطقة الإدارة حالة الإعدادات ذات الصلة بالأمن، مثل النسخ الاحتياطي والمسؤولين دون عامل ثان وإعداد البريد والنبض، وتعرض الانحرافات.
• مراجعة هذه التدابير (المادة 32(1)(d) من اللائحة العامة لحماية البيانات (GDPR)): عند كل تغيير جوهري في الخدمة وبعد كل حادث أمني، وفيما عدا ذلك مرة واحدة في السنة على الأقل. ونقيم خلالها ما إذا كانت التدابير فعالة ولا تزال ملائمة للمخاطر، ونسجل النتيجة في إصدار جديد من هذه الصفحة، أو مع تاريخ المراجعة في القسم 11 إذا لم يتغير شيء. وتقيس قائمة التحقق للإعداد والإطلاق باستمرار حالة الإعدادات التي تغطيها.
• عمليات التدقيق الخارجية: لا يكلف حاليا بإجراء اختبارات اختراق خارجية، ولا توجد شهادات أمنية. ويذكر ذلك هنا كي لا يفترض أحد وجودها.

10. مخطط له ولم ينفذ بعد

لا تعد النقاط التالية تدابير ملتزما بها حتى تدرج هنا كمنفذة في إصدار جديد:

• نسخة احتياطية في موقع ثان: نسخة مشفرة من النسخة الاحتياطية الليلية خارج الخادم، كي لا يؤدي حتى الفقدان الكامل للخادم إلى فقدان البيانات.
• نقطة فحص ثانية: أعدت الخدمة لتأكيد مستقل لفحوص المتصفح من موقع ثان، لكنه غير مفعل. ودونه لا يوجد تأكيد من موقع ثان.
• تعزيز أمن إدارة الخادم: العمل مستمر في ذلك. وللأسباب الواردة في القسم 1، لا ننشر التفاصيل.

11. الحالة والإصدار

• الإصدار 1.1 · آخر تحديث: 22 أكتوبر 2026 · عند وجود اختلافات بين النسخ اللغوية، تكون الأولوية للنسخة البولندية بدلا من الألمانية؛ ولا تغيير آخر.
• الإصدار 1.0 · آخر تحديث: 11 أكتوبر 2026 · الإصدار الأول كصفحة منفصلة؛ وكانت سابقا الملحق 2 لاتفاقية معالجة البيانات. التصحيحات مقارنة بالملحق السابق: يجرى اختبار الاستعادة أسبوعيا، وتوجد النسخ الاحتياطية على الخادم نفسه، ولا تنفذ حزمة اختبارات آلية قبل كل نشر، والاتصالات في الشبكة الداخلية ليست مشفرة بالكامل. الأوصاف الجديدة: تشفير بيانات الوصول للفحص خلف تسجيل الدخول وعزل الماسح والمراقبة المتبادلة وتنبيه الأخطاء.
• تنشر التغييرات برقم إصدار جديد هنا وفي النظرة العامة تغييرات وثائق العقد؛ وتسري مهلة الإشعار الواردة في اتفاقية معالجة البيانات على أي إضعاف للتدابير.
• عند وجود اختلافات بين النسخ اللغوية، تكون الأولوية للنسخة البولندية.