الأمان

الإفصاح المسؤول

نبني VeloCMS لتحظى بثقة آلاف المدونين وقرّائهم. الأمان ليس فكرة لاحقة، بل هو شرط أساسي لا تقوم المنصة دونه. إن صادفتَ شيئاً يبدو مريباً، فنحن نودّ أن نسمع منك، ونحن مستعدون لمكافأة الأبحاث النزيهة بما يتناسب مع مستوى تأثيرها.

البرنامج مستقل وتديره الشركة بنفسها. غياب عمولات منصات مثل HackerOne يعني أن كل دولار من الميزانية السنوية يذهب مباشرةً إلى الباحثين. نعتزم الانتقال إلى منصة مُدارة حين تبلغ إيراداتنا حجماً معتبراً — وحتى ذلك الحين، يُبقي هذا الهيكل الأمور مرنةً ويمنحنا التحكم الكامل في مسار الاستجابة.

كيفية الإبلاغ

أسرع طريق هو نموذج الإبلاغ المنظَّم؛ ستتلقى رسالة تأكيد آلية خلال 60 ثانية تحمل معرّف بلاغك. إن آثرتَ البريد الإلكتروني فهو خيار مقبول أيضاً. أما المسائل المتعلقة بالكود — كسلسلة التوريد، وتسلسل التبعيات، أو الأسرار المكشوفة في المستودع — فيتعامل معها GitHub Security Advisories بشكل سري حتى يُطرح الإصلاح.

POST https://velocms.org/api/security/report
Content-Type: application/json

{
  "researcher_email": "[email protected]",
  "title": "Short summary",
  "description": "Full vulnerability description (50+ chars)",
  "poc": "Proof-of-concept steps (optional)",
  "affected_url": "https://velocms.org/affected-path (optional)"
}

مستويات المكافآت

الحد الأقصى للميزانية السنوية: $5,000 USD. تُصرف عبر PayPal أو Wise خلال 30 يوماً من تحديد مستوى الخطورة.

النطاق

جدول الإفصاح الزمني

بمجرد إبلاغك، إليك ما يجري على طرفنا وما يمكنك توقعه في كل مرحلة.

الملاذ الآمن

لن نتخذ أي إجراء قانوني ضد الباحثين الذين يكتشفون الثغرات ويُبلّغون عنها ضمن هذا البرنامج بنية حسنة، ما لم يتجاوزوا الوصول إلى بيانات المستخدمين أو تسريبها إلى ما يتخطى ما يلزم لإثبات المشكلة، وشرط أن يمنحونا وقتاً معقولاً للإصلاح قبل أي إفصاح علني.

يسري هذا الملاذ الآمن على الأبحاث النزيهة الواقعة ضمن النطاق المحدد فحسب. ولا يشمل الأنشطة التي تُلحق ضرراً فعلياً بالمستخدمين أو المستأجرين أو بنية المنصة التحتية.

ضوابط الأمان وموقف الامتثال

في VeloCMS، يبقى محتواك وبيانات قرّائك وبيانات اعتماد الدفع تحت سيطرتك الكاملة — مشفَّرة ومعزولة، ولا تُشارَك قط بين المستأجرين. كل سرّ تزوّده — سواء أكان مفاتيح Stripe أم مفاتيح AI API — يُغلَّف بتشفير AES-256-GCM قبل أن يلمس قاعدة بياناتنا. وتنفصل بيانات المستأجرين على مستويَي قاعدة البيانات والتطبيق معاً، فلا يستطيع مدوّن الوصول إلى محتوى الآخر أبداً. ليس هذا وعداً تسويقياً، بل ضماناً تفرضه ضابطتان تقنيتان مستقلتان تعملان على كل طلب.

منظومة المراقبة تعمل دائماً. يرصد Sentry الأخطاء غير المعالَجة في اللحظة ذاتها التي تحدث فيها. ويفحص UptimeRobot المنصة كل خمس دقائق للتحقق من استجابتها. وتُعلم Dependabot بثغرات التبعيات قبل أن تبلغ الإنتاج. وكل تغيير في الإنتاج يمر عبر دورة تحقق رباعية الأبواب — فحص الأنواع، واللِّنت، واختبارات الوحدة، والبناء الكامل — قبل أن يُنشر.

نحن في مرحلة التحضير النشط لشهادة SOC 2 Type 1. الضوابط التقنية — تسجيل التدقيق ومراجعات الوصول وبيانات الاعتماد المشفَّرة بنموذج إحضار المفاتيح الخاصة والمراقبة المستمرة — كانت حية منذ الإطلاق. أما وثائق السياسات والارتباط الرسمي للتدقيق فهو قيد الإعداد. إن كنتَ تُقيّم VeloCMS لأغراض مؤسسية وتحتاج إلى مصفوفة الضوابط أو مكتبة السياسات في إطار اتفاقية سرية، فتواصل معنا.

للاستفسارات المتعلقة بالامتثال أو لطلب مصفوفة ضوابط SOC 2 في إطار اتفاقية سرية: [email protected]