هذه الوثيقة متاحة باللغتين الإنجليزية والتركية. في حال وجود اختلاف، تسود النسخة التركية.
1. البنية التحتية
- تعمل الخوادم في مراكز بيانات حاصلة على شهادات أمنية توفر الأمن المادي
- تمر كل حركة المرور عبر شبكة محمية من الهجمات؛ ولا يمكن الوصول إلى الخوادم إلا عبر المنافذ التي تحتاجها
- تعتمد إدارة الخوادم على المصادقة بالمفاتيح فقط؛ وتسجيل الدخول بكلمة المرور معطّل
- يُحدَّث نظام التشغيل والمكونات التابعة بانتظام
2. التشفير
- جميع الاتصالات بين المتصفحات وتطبيقات الهاتف المحمول وأداة الدردشة وخوادمنا مشفّرة باستخدام TLS
- تُخزَّن كلمات المرور في صورة تجزئة أحادية الاتجاه باستخدام argon2id؛ ولا يُحتفظ أبدًا بكلمات المرور في صورة نص عادي
- تُخزَّن أسرار التحقق بخطوتين وأسرار التكامل مشفّرةً في قاعدة البيانات
- في تطبيق الهاتف المحمول، يُخزَّن مفتاح الجلسة في وحدة التخزين الآمنة للهاتف؛ ويؤدي تسجيل الخروج إلى حذفه مع رمز الإشعارات
- لا تُرسل الإشعارات الفورية إلا عندما لا يكون الوكيل نشطًا في وحدة التحكم أو التطبيق؛ ويمكن للوكيل إيقاف معاينات الرسائل
- النسخ الاحتياطية مشفّرة باستخدام AES-256
3. أمان الحساب والوصول
- التحقق بخطوتين باستخدام تطبيق مصادقة؛ ويمكن لمالك مساحة العمل فرضه على الفريق بأكمله
- الفصل بين الصلاحيات من خلال أدوار المالك والمسؤول والمشرف والوكيل
- خيار لتقييد الوصول إلى وحدة التحكم بعناوين IP محددة
- إعدادات مدة الجلسة وتسجيل الخروج عند عدم النشاط
- تنبيه عبر البريد الإلكتروني عند تسجيل الدخول من جهاز جديد، وإشعار عند تغيير كلمة المرور أو إعدادات التحقق بخطوتين
- الحظر المؤقت وتحديد معدل الطلبات بعد محاولات تسجيل الدخول الفاشلة
- ملفات تعريف ارتباط الجلسة من نوع HttpOnly وSecure وSameSite=Strict، مع حماية من تزوير الطلبات عبر المواقع
4. أمان التطبيق
- تُفصل بيانات كل مساحة عمل عن غيرها على مستوى التطبيق وقاعدة البيانات؛ ويقتصر كل استعلام على معرّف مساحة العمل
- يُنقّى محتوى الزوار والوكلاء قبل عرضه؛ وتُعرض مقالات مركز المساعدة باستخدام مجموعة فرعية آمنة من التنسيقات
- تُفحص الملفات المرفوعة بحثًا عن الفيروسات وتقتصر على الأنواع المسموح بها
- يُتحقق من إشعارات البريد الإلكتروني الواردة بواسطة التوقيع؛ وتُرفض الطلبات التي تفشل في التحقق
- لا يُطرح أي إصدار للاستخدام الفعلي دون اجتياز اختبارات الأمان الآلية
- تعمل ميزات الذكاء الاصطناعي على خوادمنا الخاصة؛ ولا تُرسل المحادثات إلى خدمات خارجية
5. السجلات والمراقبة
- تُسجَّل الإجراءات المهمة في وحدة التحكم (تغييرات الإعدادات، وإضافة الوكلاء وإزالتهم، وحذف البيانات وتصديرها) في سجل نشاط مقاوم للتلاعب يمكن للمسؤولين الاطلاع عليه
- تُراقب موارد النظام وسلامة الخدمة باستمرار، ويُنبَّه فريقنا فورًا إلى أي أمر غير معتاد
6. النسخ الاحتياطي واستمرارية العمل
- تُنسخ قاعدة البيانات والملفات احتياطيًا يوميًا مع التشفير؛ ويمكن أيضًا الاحتفاظ بالنسخ الاحتياطية في موقع منفصل
- يُحتفظ بالنسخ الاحتياطية لمدة تصل إلى 30 يومًا، وتُختبر عمليات الاستعادة بانتظام
7. أدوات الخصوصية
- مدة احتفاظ بالمحادثات، مع الحذف التلقائي للمحادثات المنتهية مدتها
- إخفاء عناوين IP للزوار بعد فترة محددة
- العثور على جميع بيانات الزائر وتصديرها وحذفها (بما في ذلك المحادثات ورسائل البريد الإلكتروني والتذاكر)
- إيقاف رفع الملفات وتقييد أنواع الملفات المسموح بها
8. الموظفون والاستجابة للحوادث
- يقتصر الوصول إلى بيانات العميل على الموظفين الذين يحتاجون إليه، ويخضع لالتزام بالسرية
- عند وقوع حادث أمني، نحتويه ونحقق في أثره ونُخطر العملاء المتأثرين خلال 48 ساعة كحد أقصى
9. الإبلاغ عن ثغرة أمنية
إذا كنت تعتقد أنك اكتشفت ثغرة أمنية في Layvchat، فأرسل التفاصيل إلى [email protected]. ونراجع البلاغات في أسرع وقت ممكن ونُبلغك بالنتيجة.
لن نتخذ أي إجراء قانوني بشأن الأبحاث التي تُجرى بحسن نية وتتبع القواعد التالية:
- استخدم حسابك وبياناتك فقط؛ ولا تصل إلى بيانات العملاء الآخرين أو تغيّرها أو تحذفها
- لا تُجرِ اختبارات تُبطئ الخدمة أو تقطعها (اختبارات التحميل، وحجب الخدمة)
- لا تكشف عن المشكلة علنًا قبل أن نحصل على وقت معقول لإصلاحها