كيف نحمي حسابك وبيانات أمازون.
ما هو مطبق اليوم، وما ليس مطبقًا بعد.
تسجيل الدخول
- كلمات مرور من 12 حرفًا على الأقل، مخزنة كبصمة bcrypt لا يمكن عكسها.
- قفل مؤقت بعد 10 محاولات خاطئة.
- تسجيل دخول بخطوتين بتطبيق مصادقة ورموز استرداد تُستخدم مرة واحدة.
- ملف الجلسة HttpOnly، يتجدد مع الاستخدام ويُلغى إذا اكتُشفت نسخة منه.
- تغيير كلمة المرور يسجّل خروج الأجهزة الأخرى.
بياناتك
- TLS 1.2+ أثناء النقل، وقرص خادم مشفر.
- مفاتيح وصول أمازون وأسرار التحقق بخطوتين مشفرة مرة ثانية داخل التطبيق (AES-256-GCM).
- كل طلب يُفحص حتى لا يرى المستخدم إلا مساحة عمله، مع اختبارات آلية للعبور بين مساحات العمل.
- لا نخزن بيانات شخصية للمشترين.
- السجلات بدون كلمات مرور أو مفاتيح.
- لقطات يومية للخادم تُحفظ 7 أيام.
الربط بأمازون
- توافق من صفحة أمازون نفسها، ولا نرى كلمة مرور أمازون أبدًا.
- طلب الربط مرتبط بالمتصفح والمستخدم الذي بدأه.
- فصل الربط يحذف المفاتيح فورًا.
- قراءة فقط من أمازون.
التشغيل (بيئة الاختبار)
- خادم واحد على Amazon Web Services.
- قاعدة البيانات والذاكرة المؤقتة غير مكشوفة على الإنترنت.
- الأسرار في مخزن أسرار مُدار.
- التحقق بخطوتين إلزامي لكل حساب.
- نبلغ أمازون عن الحوادث التي تمس بياناتها خلال 24 ساعة.
ما لا نملكه بعد
- اختبار اختراق مستقل.
- شهادات مثل SOC 2 أو ISO 27001.
- تشغيل إنتاجي على أكثر من خادم مع تحويل تلقائي عند العطل.
- تجربة استعادة مُختبرة.
سننشرها هنا عندما تتوفر.
الإبلاغ عن ثغرة
راسلنا على info@druza.net. نرد خلال يوم عمل واحد.