الأمن
ما الذي يفعله هذا الموقع بالبيانات، وما الذي لا يفعله.
كل عبارة في هذه الصفحة تصف ضابطًا موجودًا فعليًا في الشيفرة المصدرية لهذا الموقع أو في نطاقه، ويمكن التحقّق منه من الخارج دون سؤالنا. وحيثما لا نملك شيئًا، نقول ذلك.
ما الذي يجمعه الموقع
- نموذج تواصل واحد بثلاثة حقول: الاسم، والبريد الإلكتروني، ووصف ما تسعون إلى تغييره.
- ويُسجَّل معها وقت الإرسال، والصفحة التي أُرسل منها، ونسخة اللغة المستخدَمة.
- لا عنوان IP، ولا معرّف متصفّح، ولا دولة، ولا بصمة جهاز.
- لا تُضبط أي ملفات ارتباط. ولا توجد أدوات تحليلات ولا بكسلات تتبّع ولا وسوم إعلانية.
- ولا تُحمّل الصفحة أي مورد من نطاق آخر.
أين تُخزَّن الاستفسارات
- في قاعدة بيانات Cloudflare D1 مستضافة في أوروبا الغربية.
- التخزين هو مصدر الحقيقة لا البريد: لا يُعلن النموذج النجاح إلا بعد كتابة الاستفسار فعليًا.
- يُرسَل إشعار إلينا من نطاق فرعي مخصّص للإرسال، منفصل عن نطاق صندوق البريد.
- وإن أخفق هذا الإشعار، يظلّ الاستفسار مسجّلًا — فلا يُقال لكم إننا استلمناه ونحن لم نستلمه.
ضوابط النقل والمتصفّح
- HSTS بمدة سنتين، مع تضمين النطاقات الفرعية والإدراج المسبق.
- سياسة أمن محتوى تحصر كل توجيهات الجلب في هذا المصدر وحده.
- منع التضمين في الإطارات، مع الترويسة الأقدم للمتصفّحات القديمة.
- منع استنتاج نوع المحتوى، وسياسة مُحيل صارمة عبر المصادر.
- سياسة أذونات تمنع تحديد الموقع والميكروفون والكاميرا وتتبّع الاهتمامات.
- عزل نافذة المتصفّح والموارد ضمن المصدر نفسه.
توثيق البريد
- SPF وDKIM وDMARC منشورة جميعًا لهذا النطاق.
- سياسة DMARC عند p=none ريثما يبني النطاق سجلّ إرسال، مع جمع التقارير التجميعية.
- يُرسَل بريد الإشعارات من نطاق فرعي موثَّق منفصل، حتى لا يتوسّع سجل SPF لنطاق البريد.
ضوابط إساءة الاستخدام
- تحقّق من جهة الخادم يُكرّر كل قاعدة من قواعد الواجهة.
- حقل مصيدة لا يمكن الوصول إليه بالفأرة ولا بلوحة المفاتيح ولا بقارئ الشاشة.
- تحديد معدّل لكل عنوان، لا يُخزّن شيئًا ولا يمكن استرجاعه.
- قائمة مصادر مسموح بها، وحدّ أقصى لحجم الطلب.
ما الذي لا نملكه
لا نحمل شهادة SOC 2 ولا ISO 27001، ولن نُلمّح إلى غير ذلك في صفحة أمن. وإن كانت إجراءات الشراء لديكم تشترط إحداهما، فأخبرونا مبكرًا لنمنحكم جوابًا صريحًا عن موقعنا الفعلي بدل خارطة طريق لا يمكن تدقيقها.
إمكانية الوصول
نستهدف المستوى AA من معيار WCAG 2.1. ويُختبر الموقع بأدوات axe وLighthouse مع كل تغيير: تُقاس نِسَب التباين على البكسلات المرسومة فعلًا لا افتراضًا، ويُقسَّم تدرّج اللون حتى لا يقع النص على درجة راسبة، وتُعطِّل تفضيلات تقليل الحركة كل الرسوم المتحركة، وتبقى الصفحة مقروءة دون جافاسكربت. والثغرات المعروفة وإصلاحاتها مُوثَّقة في المستودع. وإن واجهتم عائقًا، راسلونا وسنتعامل معه بوصفه خللًا.
الإبلاغ عن ثغرة
راسلونا على hello@mautasim.com بالتفاصيل وسنؤكّد الاستلام خلال يوم عمل واحد. ولن نلاحق من يُبلّغ عن مشكلة حقيقية بحسن نيّة.