إنتقل إلى المحتوى الرئيسي

نظرة عامة على الأمان

بُني FeedbackPulse SaaS مع إعطاء الأولوية القصوى للأمان. توثّق هذه الصفحة جميع إجراءات الأمان المتخذة.

طبقات الأمان​

أمان النقل​

الميزةالتطبيق
HTTPSمُفرض عبر SESSION_SECURE_COOKIE=true وmiddleware إعادة التوجيه
HSTSStrict-Transport-Security: max-age=31536000; includeSubDomains
رؤوس الأمانمُطبَّقة بواسطة middleware الـ SecurityHeaders على كل استجابة

المصادقة​

الميزةالتطبيق
تجزئة كلمة المرورBcrypt بـ 12 جولة
المصادقة الثنائيةTOTP عبر تطبيقات المصادقة (Google Authenticator، Authy)
تسجيل الدخول الاجتماعيOAuth2 مع Google وGitHub
التحقق من البريد الإلكترونيمطلوب قبل الوصول إلى لوحة التحكم
روابط URL موقّعةتُستخدم لدعوات الفريق (تنتهي خلال 7 أيام)
تشفير الجلسةالجلسات مشفّرة في حالة السكون

التفويض​

الميزةالتطبيق
الوصول المستند إلى الأدوار4 أدوار: superadmin، tenant_admin، tenant_staff، customer
حراسة الـ Middlewareالتحكم في الوصول على مستوى المسار
عزل المستأجرالنطاق العالمي يمنع الوصول عبر بيانات المستأجرين
بوابات قائمة على الخطةالميزات محجوبة خلف خطة الاشتراك

أمان التطبيق​

الميزةالتطبيق
حماية CSRFرموز CSRF لـ Laravel على جميع النماذج (باستثناء webhooks/widget)
منع XSSهروب تلقائي في Blade بـ {{ }}
حقن SQLاستعلامات Eloquent المُعلَّمة
التعيين الجماعيقائمة بيضاء $fillable للنموذج
تحديد معدل الطلباتتقييد لكل مسار (5-120 طلب/دقيقة)

أمان API​

الميزةالتطبيق
تجزئة مفتاح APIتخزين مجزّأ بـ SHA256
حدود معدل لكل مستأجر60 طلب/دقيقة لكل مستأجر
تدوير المفاتيحإلغاء المفاتيح القديمة وإنشاء مفاتيح جديدة
تتبع آخر استخدامالطابع الزمني last_used_at يُحدَّث عند كل استخدام

أمان البيانات​

الميزةالتطبيق
تشفير البيانات الحساسةإعدادات المنصة مشفّرة في حالة السكون
امتثال GDPRأدوات تصدير البيانات والحذف وإخفاء الهوية
الاحتفاظ بالبياناتحذف تلقائي للبيانات القديمة وفق سياسة الاحتفاظ بالخطة
تسجيل التدقيقيُتتبع كل إجراء مهم مع عنوان IP ووكيل المستخدم
منع حقن CSVتعقيم أحرف الصيغ في التصديرات

أمان Webhook​

الميزةالتطبيق
توقيعات HMACتوقيعات SHA256 على الـ webhooks الصادرة
حماية SSRFيحجب localhost وعناوين IP الخاصة في روابط webhook
التحقق من Stripeالتحقق من توقيع webhook
إلغاء تكرار الأحداثيمنع المعالجة المضاعفة عبر تتبع معرف الحدث

رؤوس HTTP الأمنية​

مُطبَّقة بواسطة middleware الـ SecurityHeaders:

X-Frame-Options: SAMEORIGIN
X-Content-Type-Options: nosniff
X-XSS-Protection: 1; mode=block
Strict-Transport-Security: max-age=31536000; includeSubDomains
Referrer-Policy: strict-origin-when-cross-origin
Content-Security-Policy: [configured per deployment]

الخطوات التالية​