الأمان

أن نجمع أقل من البداية

أضمن حماية لأي بيان هي ألا نحتفظ به. وقد صُمّم زاد ليحتاج قدراً قليلاً بشكل مفاجئ.

• أرقام الجوازات لا تُحفظ إلا إذا طلبت ذلك تحديداً
• صور الوثائق لا تُحفظ إلا إذا فعّلت ذلك، وهو معطّل افتراضياً
• مسح الجواز يتم على جهازك — الصورة لا تصل إلى أي خادم
• لا تحليلات طرف ثالث ولا متتبّعات إعلانية في الصفحات بعد تسجيل الدخول، إطلاقاً

فصل تفرضه قاعدة البيانات

كل سجل يخص حساباً واحداً بالضبط، وهذه القاعدة مفروضة داخل PostgreSQL نفسها لا بكود تطبيق يتذكّر أن يُرشّح.

والنتيجة أن خطأً في كودنا لا يستطيع أن يعرض لك وثائق شخص آخر — قاعدة البيانات ترفض الاستعلام. ونحن نختبر ذلك في كل بناء بمجموعة اختبارات تحاول فعلياً الوصول عبر الحسابات، ويفشل البناء إن نجحت أي محاولة.

الحسابات

مفاتيح المرور (Passkeys) هي الطريقة الأساسية لتسجيل الدخول: لا شيء يُعاد استخدامه، ولا شيء يمكن اصطياده. وحين تُستخدم كلمة مرور بدلاً منها، تُحمى بخوارزمية حديثة كثيفة الذاكرة وتُفحص مقابل قوائم التسريبات المعروفة.

ولا نستخدم رموز الرسائل النصية لما لها من ضعف موثّق. كما أن الاطلاع على خزانة وثائقك أو تصدير بياناتك أو تغيير بريدك يتطلب إعادة توثيق حتى لو كنت مسجّل الدخول.

ما لا ندّعيه

الوضوح بشأن الحدود جزء من كوننا جديرين بالثقة.

• ليس تشفيراً من طرف إلى طرف: خوادمنا تستطيع فك تشفير بياناتك، وهذه هي المقايضة التي تتيح لك استعادة حسابك
• تُعالَج البيانات في الولايات المتحدة لا داخل المملكة — راجع سياسة الخصوصية
• زاد قيد التطوير ولم يخضع بعد لاختبار اختراق مستقل

الإبلاغ عن ثغرة

إن وجدت طريقة للوصول إلى بيانات ليست لك، أخبرنا قبل أن تخبر غيرنا. راسلنا على security@zad.app.

سنردّ خلال ثلاثة أيام عمل. وإن تصرفت بحسن نية فلن نلاحقك، وسنذكر اسمك إن أحببت.