الأمان
لبيانات الضيوف وسجلات القانون 5651 نوضح بصراحة ما نحميه وكيف نحميه.
كل بند في هذه الصفحة يستند إلى ضابط يعمل فعلًا في المنتج. ونذكر أيضًا ما لم ننجزه بعد.
الضوابط
إجراءات الأمان العاملة على المنصة اليوم
ليست وعودًا تسويقية، بل ملخص لضوابط مطبّقة فعلًا.
اتصالات مشفّرة (HTTPS)
تُقدَّم لوحة التحكم وواجهة API وصفحات دخول الضيوف التي تستضيفها Hotspotly عبر HTTPS فقط، ويُبلَّغ المتصفح عبر HSTS بعدم استخدام HTTP غير المشفّر. أما إعادة توجيه الدخول المحلية في الراوتر نفسه فتعتمد على إعداداته.
الأسرار مشفّرة في قاعدة البيانات
تُخزَّن كلمات مرور أجهزة التوجيه ومفاتيح التكامل وأسرار المصادقة الثنائية وأرقام الهوية التركية وجوازات السفر مشفّرةً بخوارزمية AES-256-GCM في قاعدة بيانات التطبيق. ولا توجد المفاتيح في قاعدة البيانات ولا في النسخ الاحتياطية.
كلمات مرور اللوحة غير قابلة للاسترجاع
تُخزَّن كلمات مرور حسابات اللوحة على شكل تجزئة bcrypt، ولا تُحفَظ كلمات مرور اللوحة كنص صريح.
المصادقة الثنائية
المصادقة الثنائية عبر تطبيق المصادقة (TOTP) إلزامية افتراضيًا لحسابات المسؤولين والموزّعين والعملاء (بما في ذلك أعضاء الفريق)؛ ولا يمكن إعفاء نشاط تجاري إلا من قبل مسؤول المنصة مع تسجيل السبب. رموز الاسترداد صالحة لمرة واحدة.
فصل بيانات العملاء
كل سجل يتبع عميلًا واحدًا، وتتحقق نقاط نهاية اللوحة من الصلاحية بحسب الدور والعميل. لا يستطيع عميل رؤية أجهزة عميل آخر أو ضيوفه أو سجلاته.
سجل التدقيق
تُسجَّل في سجل التدقيق عمليات الدخول والمحاولات الفاشلة وتغييرات كلمة المرور والمصادقة الثنائية وإلغاء الجلسات، وكل عرض أو تصدير لسجلات القانون 5651.
سجلات 5651 محمية من التلاعب
تُختَم سجلات الوصول كل ليلة ببصمات SHA-256 وبيان متسلسل وشجرة ميركل، ويظهر أي تعديل بعد الختم عند التحقق.
سجلات موافقة وقبول عقود غير قابلة للتعديل
سجلات موافقة الضيوف وقبول العقود تُضاف فقط: لا يعدّلها التطبيق ولا يحذفها أبدًا، ويُكتب سحب الموافقة كسجل جديد.
نسخ احتياطي يومي ونص لتمارين الاستعادة
تُنسَخ قواعد البيانات تلقائيًا كل يوم، وتُحفَظ آخر 14 نسخة. وأُعدّ نص تمرين لاختبار الاستعادة بانتظام دون لمس قاعدة البيانات الحية، يتحقق من المخطط وعدد الصفوف وأختام 5651.
المعالِجون الفرعيون
الأطراف الثالثة التي تعالج البيانات
مزوّدو الخدمة الذين نعمل معهم لتقديم الخدمة. بعضهم لا يُستخدم إلا إذا فعّلتَ الميزة المعنية.
| المزوّد | الغرض | النطاق |
|---|---|---|
| مزوّد الاستضافة | الخوادم وقواعد البيانات والنسخ الاحتياطية. يُنشر اسم المزوّد وموقع مركز البيانات هنا بعد التحقق منهما. | جميع العملاء |
| Cloudflare, Inc. | DNS وإنهاء TLS والحماية من الهجمات: تمر حركة اللوحة وواجهة API عبر هذه الشبكة. | جميع العملاء |
| iyzico (İyzi Ödeme ve Elektronik Para Hizmetleri A.Ş.) | مدفوعات الاشتراكات والرصيد؛ لا تصل بيانات البطاقة إلى خوادم Hotspotly. | جميع العملاء |
| TÜBİTAK BİLGEM Kamu SM | طوابع زمنية وفق RFC 3161 لأختام 5651 اليومية؛ تبدأ عند تفعيل الاشتراك. لا يتلقى أي بيانات شخصية؛ تُرسَل قيمة بصمة يومية فقط. | قريبًا |
| NetGSM · İleti Merkezi · Mutlucell | رموز التحقق للضيوف عبر الرسائل القصيرة، تُرسَل من خلال مزوّد الرسائل الذي تختاره. | عند التفعيل |
| Google · Meta (Facebook) | دخول الضيوف بحساب تواصل اجتماعي؛ فقط في الأماكن التي تفعّل هذه الطريقة. | عند التفعيل |
| Mews · Cloudbeds | التحقق من رقم الغرفة واسم العائلة لنزلاء الفنادق؛ فقط في الفنادق التي لديها تكامل PMS. | عند التفعيل |
| Meta Platforms (WhatsApp Business) | التحقق والإشعارات عبر واتساب؛ هذه القناة غير متاحة بعد. | قريبًا |
تتوفر اتفاقية معالجة البيانات (DPA) عند الطلب. وتُنشَر القائمة الحالية دائمًا في هذه الصفحة.
الإفصاح المسؤول
هل وجدت ثغرة؟
نرحّب ببلاغات الباحثين الأمنيين. يُرجى مراسلتنا بالبريد الإلكتروني قبل الإعلان عن أي ثغرة علنًا.
- 1.أرسل إلينا بالبريد الإلكتروني وصف الثغرة والعنوان المتأثر وخطوات إعادة إنتاجها.
- 2.نؤكد استلام بلاغك خلال 5 أيام عمل كحد أقصى.
- 3.نُبقيك على اطلاع خلال التحقق والإصلاح، ونهدف إلى إغلاق الثغرات الحرجة والعالية خلال 30 يومًا.
- 4.بعد نشر الإصلاح، نشكرك باسمك إن رغبت في ذلك.
ضمن النطاق
الموقع ولوحة التحكم وواجهة API على hotspotly.net، وصفحات دخول الضيوف (البوابة)، وملف security.txt.
خارج النطاق
محاولات حجب الخدمة (DoS)، والهندسة الاجتماعية، والوصول المادي، وأجهزة الشبكة الخاصة بعملائنا، وخدمات الأطراف الثالثة. لا تصل إلى بيانات ضيوف حقيقية، وإن حدث ذلك فتوقف وأبلغنا.
ضمان حسن النية
لن نتخذ أي إجراء قانوني بشأن الأبحاث التي تُجرى بحسن نية ووفق هذه القواعد. لا يوجد لدينا حاليًا برنامج مكافآت مدفوعة للثغرات.
في حال حدوث خرق للبيانات
لدينا خطة مكتوبة للاستجابة للحوادث. عند حدوث خرق للبيانات الشخصية نُبلغ العملاء المتأثرين دون تأخير، ونُعدّ المعلومات اللازمة لإخطار مجلس حماية البيانات الشخصية التركي خلال 72 ساعة من العلم بالخرق، كما يقتضي قانون KVKK.
ما لا ندّعيه بعد
- لا نملك شهادة ISO 27001 أو شهادة مماثلة.
- لم يُجرَ بعد اختبار اختراق مستقل؛ وثائق النطاق والجاهزية جاهزة، ونخطط لاختبار خارجي سنوي.
- لا يوجد برنامج مكافآت مدفوعة للثغرات.