الأمان
ممارسات أمان نطبّقها فعلياً
تصف هذه الصفحة ضوابط ظاهرة في قاعدة كود Vekra الحالية ونموذج التشغيل. لا ندّعي شهادة SOC 2 أو ISO أو GDPR ما لم تُوثَّق لاحقاً هنا.
الأسرار تبقى على الخادم
مفاتيح واجهات البرمجة وبيانات المسؤول وأسرار الويب هوك ومفاتيح التوقيع تُقرأ من متغيرات البيئة في مسارات ووحدات الخادم — ولا تُرسل إلى المتصفح.
التحقق من الجلسة
حسابات المستخدمين تستخدم تجزئة كلمات المرور على الخادم (scrypt). تسجيل الدخول يتجاهل الخطة والاستخدام القادمين من العميل. الجلسات رموز HMAC تُتحقق بمقارنة آمنة زمنياً.
وصول المسؤول منفصل
جلسات المسؤول تستخدم كوكي httpOnly موقّع (SameSite=strict) وفحوصات requireAdmin وفحص Origin/Referer على واجهات الإدارة المغيّرة.
ويب هوك المدفوعات
معالجة ويب هوك Lahza تتحقق من توقيع المزوّد عند التهيئة وتعالج الأحداث بشكل idempotent حتى لا تكرّر الأرصدة أو الرسوم عند إعادة المحاولة.
التحقق من المدخلات
أجسام الطلبات والمدخلات الحرجة تُتحقق بمخططات (Zod). مسارات التوليد تتطلب جلسة موقعة؛ تُفحص المرفقات نوعاً وحجماً؛ وتُغلَّف المطالبات غير الموثوقة قبل استدعاء النموذج.
حد المعدّل
المصادقة وتسجيل دخول المسؤول ووظائف الذكاء الاصطناعي والمرفقات والتواصل والدفع وتحليلات الأحداث محدودة المعدّل لكل IP أو مستخدم لتقليل الإساءة.
سلامة الفوترة
الأرصدة واستحقاقات الخطة تُحسب على الخادم. الاستخدام يُقاس ويُربط بالمستخدم والمشروع/المهمة عند وجودها. لا يُوثق بالعميل لحساب الأرصدة.
مراقبة بلا تفريغ للمطالبات
مراقبة المهام تتتبع المزوّد والنموذج والكمون والأرصدة والنجاح/الفشل. نتجنب تخزين نص المطالبات الحساس بالكامل عندما لا يكون مطلوباً للمنتج.
ما لا ندّعيه هنا
- شهادة SOC 2 من النوع الأول/الثاني
- شهادة ISO 27001
- شهادة GDPR أو قوالب DPA كبرنامج مكتمل
FAQ
أين تعيش مفاتيح واجهات البرمجة؟
متغيرات بيئة الخادم في معالجات المسارات ووحدات الخادم — لا حزمة المتصفح.
هل تدّعي Vekra SOC 2 أو ISO 27001 هنا؟
لا. هذه الصفحة تسرد ممارسات ظاهرة في المنتج اليوم. الشهادات تُسمّى فقط إن وُثّقت مستقلاً.
كيف تُعاد محاولة المدفوعات بأمان؟
الويب هوك يتحقق من التوقيع عند التهيئة ويطبّق تغييرات الأرصدة بشكل idempotent.