الأمان

بيئة الإنتاج

تعمل بيئة الإنتاج في الاتحاد الأوروبي EU (Frankfurt) ضمن حساب سحابي مخصّص ومعزول تمامًا، منفصل عن أي منتج آخر. وتُخصَّص الحوسبة والشبكات والتخزين والأسرار والتسجيل بالكامل لـ Syncanix. وتُطبَّق إقامة البيانات في الاتحاد الأوروبي في الشِّفرة — إذ يرفض أي نشر مُهيَّأ بشكل خاطئ العمل إذا تمّت إحالته إلى أي منطقة خارج الاتحاد الأوروبي.

عزل المستأجرين، مع الأدلة

بيانات كل مستأجر مفصولة بأربع طبقات إنفاذ مستقلة — أي واحدة منها كافية وحدها لإيقاف طلب عابر للمستأجرين:

1. الحدود: كل طلب موثَّق يجب أن يُحلّ إلى مستأجر، وإلا رُفض عند الحافة.
2. سياق الطلب: تُربط هوية المستأجر بالطلب وتُمرَّر إلى كل طبقة أدنى — ولا تُمرَّر يدويًا أبدًا.
3. الاستعلامات: كل وصول إلى البيانات مقيَّد صراحةً بالمستأجر الطالب.
4. قاعدة البيانات: سياسات أمان على مستوى الصف في كل جدول متعدد المستأجرين تفرض الحدود نفسها داخل Postgres ذاته — حتى فحص مفترضٌ فائت في الأعلى لا يستطيع تجاوزها.

هذا مُختبَر لا مُدّعى: أمانُ مستوى الصف مثبت بحزمة تكامل تعمل على قاعدة Postgres حقيقية، ومصفوفة مسابير ليلية تحاول قراءات وكتابات ووصولًا إلى السجلات والأسرار والبحث المتجهي عبر المستأجرين — ويُشترط نجاح كل مسبار قبل كل نشر. يمكن لمراجعي الأمان طلب حزمة الأدلة الكاملة عبر admin@syncanix.com.

التشفير

تُشفَّر جميع بيانات العملاء أثناء التخزين باستخدام AES-256. ويُشفَّر كل مخزن بيانات — قواعد البيانات وتخزين الكائنات والوحدات المرتبطة والسجلات — بمفاتيح مُدارة تُدوَّر وفق وتيرة مُدارة.

تستخدم جميع البيانات أثناء النقل TLS 1.3 كحدّ أدنى. ويعيد الموقع التسويقي ولوحة تحكُّم العميل على app.syncanix.com ونقطة نهاية API جميعها توجيه HTTP إلى HTTPS وتفرض HSTS بمدة max-age تبلغ سنتين شاملةً النطاقات الفرعية مع preload. ويتوفر BYOK (إحضار مفتاحك الخاص) في كل خطة — إذ يمكن للعملاء توجيه حركة النموذج عبر مفتاح مزوّدهم الخاص، وهو مفتاح لا يظهر مطلقًا في مُخرجات سجلات Syncanix.

الهوية والمصادقة

تتولى Auth0 مصادقة لوحة التحكُّم. وتُحمى كل نقطة نهاية API بطبقة مصادقة تتحقّق من توقيع JWT مقابل نقطة نهاية JWKS الخاصة بالمزوّد، وتتحقّق من الجمهور (audience) والمُصدِر (issuer)، وترفض الرموز المنتهية الصلاحية. والحماية مُفعّلة افتراضيًا؛ ولا تكون نقطة النهاية عامة إلا عند تحديدها صراحةً. ولا يوجد وضع فشل من نوع «نسيتُ إضافة المصادقة» — إذ يُفرَض الوضع الافتراضي.

التفويض

تُجرى عمليات التحقُّق من الأذونات في طبقة الخدمة، لا عند حافة API. فالخدمة التي تستجيب لطلب «تعديل المشروع Y» تتحقّق من أن المُستدعي يملك على الأقل دور المُحرِّر على المشروع Y قبل الوصول إلى قاعدة البيانات. وتستخدم استدعاءات الخدمة إلى الخدمة مخطّط مصادقة منفصلًا (ظروف موقَّعة أو نقاط نهاية مُصادَق عليها من المنصّة) — وليس رموز JWT الخاصة بالمستخدم أبدًا.

IAM وأدنى الامتيازات

يحمل كل دور لعبء العمل أصغر سياسة ممكنة. وتُكتب السياسات صراحةً؛ ولا يستخدم أي دور أحرف بدل واسعة. وحيثما لا يكون تحديد النطاق حسب المورد مُعبِّرًا بما يكفي، تُحدِّد السياسات النطاق حسب الوسم. ولا توجد مفاتيح وصول طويلة الأمد في CI — إذ يتولى المسار البرمجي دورًا عبر OIDC؛ ويستخدم التطوير المحلي بيانات اعتماد قصيرة الأمد.

أمان التطبيق

يُحلَّل كل وسيط API وكل نص لطلب عبر مخطّط صارم قبل أن يصل إلى شِفرة الخدمة. واستعلامات قاعدة البيانات مُحدَّدة المعاملات بالكامل — دون دمج نصّي لمدخلات المستخدم. وتستخدم عمليات الكتابة واجهات API مُحدَّدة الأنواع، وليس تعبيرات خام مبنية من مدخلات المستخدم أبدًا.

تُرسَل ترويسات أمان HTTP مع كل استجابة موجَّهة إلى العميل:

• Content-Security-Policy مع قائمة سماح صارمة (Auth0، والمصدر الخاص، ودون نصوص برمجية مضمَّنة).
• Strict-Transport-Security: max-age=63072000; includeSubDomains; preload.
• X-Frame-Options: DENY (الحماية من clickjacking).
• X-Content-Type-Options: nosniff.
• Referrer-Policy: strict-origin-when-cross-origin.
• Permissions-Policy: تحديد الموقع الجغرافي والميكروفون والكاميرا، جميعها مرفوضة افتراضيًا.

تُفرَض CORS على طبقتين مستقلّتين، لكلٍّ منهما قائمة سماح صريحة بالمصادر. ويُرفض مصدر الحرف البدل في وقت البناء — ولا يمكن المضي قُدمًا في نشر للإنتاج دون مصادر صريحة.

أمان الذكاء الاصطناعي الوكيلي والدفاع ضد حقن التوجيهات

تُربَط أداة الدردشة وخادم MCP لكل مستأجر بمعايير OWASP لأخطر عشرة مخاطر لتطبيقات الذكاء الاصطناعي الوكيلية لعام 2026 (ASI01–ASI10). الخصم الأساسي الذي نصمّم لمواجهته هو المحتوى غير الموثوق الذي يصل إلى النموذج — حمولة حقن توجيهات مخبأة في مستند مُسترجَع أو نتيجة أداة أو سياق الصفحة — يحاول اختطاف الوكيل أو تسريب البيانات أو خداع المستخدم.

بالنسبة لمخاطر فئة الحقن، فإن موقفنا المنشور صادق: مُخفَّف ومُقاس، وليس «مُزالًا» أبدًا. تُتحقَّق الضوابط الحتمية أدناه في الشيفرة وتحكم كل عملية نشر؛ أما البقايا المرتبطة بسلوك النموذج، مثل صياغة جديدة لكسر الحماية، فتُتابَع وتخضع باستمرار لاختبارات الفريق الأحمر.

الضوابط التي تدعم هذا الموقف:

• يفحص جدار حماية للمدخلات يعمل بالإغلاق الآمن كل قناة غير موثوقة قبل تشغيل النموذج، ويرفض محاولات كسر الحماية وتجاوز توجيه النظام — في جميع اللغات الست المدعومة، بحيث لا يؤدي تبديل اللغة إلى تجاوزه.
• يُعامَل المحتوى الذي لم ينشئه النموذج (المستندات المُسترجَعة ونتائج الأدوات وسياق الصفحة) على أنه غير موثوق: لا يمكن لأي إجراء مُشتق منه أن يكتب أو يحذف أو يعيد التوجيه دون تأكيد جديد وصريح.
• يقوم مُرشِّح لمنع فقدان البيانات بحجب الأسرار والبيانات الشخصية من مُخرَجات النموذج قبل أن تغادر المنصة.
• تعمل مجموعة اختبارات الفريق الأحمر العدائية المنسّقة عند كل تغيير وتمنع النشر إذا نجح هجوم معروف في الاختراق — أو إذا بدأت رسالة مشروعة تُحجَب بإفراط.

نموذج التهديد المُنقَّح الكامل ونتائج التقييم العدائي — خريطة OWASP لأخطر عشرة مخاطر وكيلية إضافةً إلى منهجية الفريق الأحمر لدينا — متاحة لفرق الأمان عند الطلب على admin@syncanix.com بموجب اتفاقية عدم إفصاح متبادلة.

إدارة الأسرار

تقيم أسرار الإنتاج في مدير أسرار مخصّص ضمن مساحة أسماء لكل بيئة. وتقيم الإعدادات غير السرّية في مخزن معاملات منفصل. وتُتاح الأسرار لأعباء العمل عند الإقلاع — ولا تقيم أبدًا في نظام التحكُّم بالمصادر. وتُدوَّر بيانات اعتماد قاعدة البيانات تلقائيًا؛ بينما تُدوَّر رموز الأطراف الثالثة (Paddle، Anthropic، OpenAI) يدويًا وفق وتيرة فصلية.

التسجيل والتدقيق

السجلات هي JSON مُهيكَل بفترة احتفاظ مدتها 14 يومًا افتراضيًا. ويحمل كل سطر سجل معرّف ارتباط (معرّف الطلب) كي يتسنّى إعادة بناء مسار مستخدم واحد من البداية إلى النهاية. وتُخفي قائمة تنقيح حقول token / password / secret / authorization تلقائيًا؛ ولا تصل البيانات الشخصية الكاملة إلى أداة التسجيل أبدًا. وتُصدر حالات فشل المصادقة سطر WARN مع عنوان IP المصدر والسبب — وليس مع محتوى الرمز أبدًا.

نظافة التبعيات

تُجرى عمليات تدقيق آلية للتبعيات في CI؛ وتؤدي التنبيهات العالية أو الحرجة إلى فشل البناء. وتُفعَّل Renovate وDependabot على بيان التبعيات وملف القفل. وتخضع كل مكتبة مفتوحة المصدر جديدة لمراجعة موثَّقة قبل اعتمادها (الأمان، والصيانة، والترخيص، والارتهان، والأداء).

الشهادات وعمليات التدقيق

يبدأ جمع الأدلة لـ SOC 2 Type I عبر Vanta في الشهر التالي لإطلاق Syncanix تجاريًا، مع تقرير Type I مستهدَف للربع الثالث من 2026. ويتبعه SOC 2 Type II بعد نحو 9 أشهر. وتُجمَع أدلة ISO 27001 بالتزامن (مع تداخُل في الضوابط بنسبة 70-80% مع SOC 2) — والشهادة مستهدَفة للربع الرابع من 2026. حالة الامتثال الكاملة ←

الاستجابة للحوادث

يُرسَل الإفصاح عن الثغرات إلى admin@syncanix.com — ويُقَر باستلامه خلال 3 أيام عمل ويُصنَّف خلال 7 أيام. وتُبلَّغ الخروقات المؤكَّدة ذات الأثر على العملاء إلى العملاء المتأثرين خلال 24 ساعة من تأكيدها، تماشيًا مع التزام المادة 33 من DPA. ويُتدرَّب على دليل إجرائي موثَّق للاستجابة للحوادث كل ثلاثة أشهر.