الأمان

بيئة الإنتاج

تعمل بيئة الإنتاج في الاتحاد الأوروبي EU (Frankfurt) ضمن حساب سحابي مخصّص ومعزول تمامًا، منفصل عن أي منتج آخر. وتُخصَّص الحوسبة والشبكات والتخزين والأسرار والتسجيل بالكامل لـ Syncanix. وتُطبَّق إقامة البيانات في الاتحاد الأوروبي في الشِّفرة — إذ يرفض أي نشر مُهيَّأ بشكل خاطئ العمل إذا تمّت إحالته إلى أي منطقة خارج الاتحاد الأوروبي.

عزل المستأجرين، مع الأدلة

بيانات كل مستأجر مفصولة بأربع طبقات إنفاذ مستقلة — أي واحدة منها كافية وحدها لإيقاف طلب عابر للمستأجرين:

1. الحدود: كل طلب موثَّق يجب أن يُحلّ إلى مستأجر، وإلا رُفض عند الحافة.
2. سياق الطلب: تُربط هوية المستأجر بالطلب وتُمرَّر إلى كل طبقة أدنى — ولا تُمرَّر يدويًا أبدًا.
3. الاستعلامات: كل وصول إلى البيانات مقيَّد صراحةً بالمستأجر الطالب.
4. قاعدة البيانات: سياسات أمان على مستوى الصف في كل جدول متعدد المستأجرين تفرض الحدود نفسها داخل Postgres ذاته — حتى فحص مفترضٌ فائت في الأعلى لا يستطيع تجاوزها.

هذا مُختبَر لا مُدّعى: أمانُ مستوى الصف مثبت بحزمة تكامل تعمل على قاعدة Postgres حقيقية، ومصفوفة مسابير ليلية تحاول قراءات وكتابات ووصولًا إلى السجلات والأسرار والبحث المتجهي عبر المستأجرين — ويُشترط نجاح كل مسبار قبل كل نشر. يمكن لمراجعي الأمان طلب حزمة الأدلة الكاملة عبر admin@syncanix.com.

التشفير

تُشفَّر جميع بيانات العملاء أثناء التخزين باستخدام AES-256. ويُشفَّر كل مخزن بيانات — قواعد البيانات وتخزين الكائنات والوحدات المرتبطة والسجلات — بمفاتيح مُدارة تُدوَّر وفق وتيرة مُدارة.

تستخدم جميع البيانات أثناء النقل TLS 1.3 كحدّ أدنى. ويعيد الموقع التسويقي ولوحة تحكُّم العميل على app.syncanix.com ونقطة نهاية API جميعها توجيه HTTP إلى HTTPS وتفرض HSTS بمدة max-age تبلغ سنتين شاملةً النطاقات الفرعية مع preload. ويُدعم BYOK (إحضار مفتاحك الخاص) في الفئة enterprise — إذ تُستخدم المفاتيح التي يوفّرها العميل لظرف بيانات العميل دون أن تظهر مطلقًا في مُخرجات سجلات Syncanix.

الهوية والمصادقة

تتولى Auth0 مصادقة لوحة التحكُّم. وتُحمى كل نقطة نهاية API بطبقة مصادقة تتحقّق من توقيع JWT مقابل نقطة نهاية JWKS الخاصة بالمزوّد، وتتحقّق من الجمهور (audience) والمُصدِر (issuer)، وترفض الرموز المنتهية الصلاحية. والحماية مُفعّلة افتراضيًا؛ ولا تكون نقطة النهاية عامة إلا عند تحديدها صراحةً. ولا يوجد وضع فشل من نوع «نسيتُ إضافة المصادقة» — إذ يُفرَض الوضع الافتراضي.

التفويض

تُجرى عمليات التحقُّق من الأذونات في طبقة الخدمة، لا عند حافة API. فالخدمة التي تستجيب لطلب «تعديل المشروع Y» تتحقّق من أن المُستدعي يملك على الأقل دور المُحرِّر على المشروع Y قبل الوصول إلى قاعدة البيانات. وتستخدم استدعاءات الخدمة إلى الخدمة مخطّط مصادقة منفصلًا (ظروف موقَّعة أو نقاط نهاية مُصادَق عليها من المنصّة) — وليس رموز JWT الخاصة بالمستخدم أبدًا.

IAM وأدنى الامتيازات

يحمل كل دور لعبء العمل أصغر سياسة ممكنة. وتُكتب السياسات صراحةً؛ ولا يستخدم أي دور أحرف بدل واسعة. وحيثما لا يكون تحديد النطاق حسب المورد مُعبِّرًا بما يكفي، تُحدِّد السياسات النطاق حسب الوسم. ولا توجد مفاتيح وصول طويلة الأمد في CI — إذ يتولى المسار البرمجي دورًا عبر OIDC؛ ويستخدم التطوير المحلي بيانات اعتماد قصيرة الأمد.

أمان التطبيق

يُحلَّل كل وسيط API وكل نص لطلب عبر مخطّط صارم قبل أن يصل إلى شِفرة الخدمة. واستعلامات قاعدة البيانات مُحدَّدة المعاملات بالكامل — دون دمج نصّي لمدخلات المستخدم. وتستخدم عمليات الكتابة واجهات API مُحدَّدة الأنواع، وليس تعبيرات خام مبنية من مدخلات المستخدم أبدًا.

تُرسَل ترويسات أمان HTTP مع كل استجابة موجَّهة إلى العميل:

• Content-Security-Policy مع قائمة سماح صارمة (Auth0، والمصدر الخاص، ودون نصوص برمجية مضمَّنة).
• Strict-Transport-Security: max-age=63072000; includeSubDomains; preload.
• X-Frame-Options: DENY (الحماية من clickjacking).
• X-Content-Type-Options: nosniff.
• Referrer-Policy: strict-origin-when-cross-origin.
• Permissions-Policy: تحديد الموقع الجغرافي والميكروفون والكاميرا، جميعها مرفوضة افتراضيًا.

تُفرَض CORS على طبقتين مستقلّتين، لكلٍّ منهما قائمة سماح صريحة بالمصادر. ويُرفض مصدر الحرف البدل في وقت البناء — ولا يمكن المضي قُدمًا في نشر للإنتاج دون مصادر صريحة.

إدارة الأسرار

تقيم أسرار الإنتاج في مدير أسرار مخصّص ضمن مساحة أسماء لكل بيئة. وتقيم الإعدادات غير السرّية في مخزن معاملات منفصل. وتُتاح الأسرار لأعباء العمل عند الإقلاع — ولا تقيم أبدًا في نظام التحكُّم بالمصادر. وتُدوَّر بيانات اعتماد قاعدة البيانات تلقائيًا؛ بينما تُدوَّر رموز الأطراف الثالثة (Paddle، Anthropic، OpenAI) يدويًا وفق وتيرة فصلية.

التسجيل والتدقيق

السجلات هي JSON مُهيكَل بفترة احتفاظ مدتها 14 يومًا افتراضيًا. ويحمل كل سطر سجل معرّف ارتباط (معرّف الطلب) كي يتسنّى إعادة بناء مسار مستخدم واحد من البداية إلى النهاية. وتُخفي قائمة تنقيح حقول token / password / secret / authorization تلقائيًا؛ ولا تصل البيانات الشخصية الكاملة إلى أداة التسجيل أبدًا. وتُصدر حالات فشل المصادقة سطر WARN مع عنوان IP المصدر والسبب — وليس مع محتوى الرمز أبدًا.

نظافة التبعيات

تُجرى عمليات تدقيق آلية للتبعيات في CI؛ وتؤدي التنبيهات العالية أو الحرجة إلى فشل البناء. وتُفعَّل Renovate وDependabot على بيان التبعيات وملف القفل. وتخضع كل مكتبة مفتوحة المصدر جديدة لمراجعة موثَّقة قبل اعتمادها (الأمان، والصيانة، والترخيص، والارتهان، والأداء).

الشهادات وعمليات التدقيق

يبدأ جمع الأدلة لـ SOC 2 Type I عبر Vanta في الشهر التالي لإطلاق Syncanix تجاريًا، مع تقرير Type I مستهدَف للربع الثالث من 2026. ويتبعه SOC 2 Type II بعد نحو 9 أشهر. وتُجمَع أدلة ISO 27001 بالتزامن (مع تداخُل في الضوابط بنسبة 70-80% مع SOC 2) — والشهادة مستهدَفة للربع الرابع من 2026. حالة الامتثال الكاملة →

الاستجابة للحوادث

يُرسَل الإفصاح عن الثغرات إلى admin@syncanix.com — ويُقَر باستلامه خلال 24 ساعة ويُصنَّف خلال 72 ساعة. وتُبلَّغ الخروقات المؤكَّدة ذات الأثر على العملاء إلى العملاء المتأثرين خلال 24 ساعة من تأكيدها، تماشيًا مع التزام المادة 33 من DPA. ويُتدرَّب على دليل إجرائي موثَّق للاستجابة للحوادث كل ثلاثة أشهر.