الأمان

يتحقق قسم الإعدادات < الأمان من مشكلات الأمان في موقعك ويساعدك على إصلاحها. ويجري ثلاثة فحوصات: فحص الحزم وفحص الشيفرة ومراجعة الأمان بالذكاء الاصطناعي. عند وجود مشكلات حرجة، يظهر عدد باللون الأحمر بجوار الأمان في الشريط الجانبي للإعدادات.

في الأعلى، يوضح سطر عدد المشكلات التي تحتاج إلى إصلاح، ووقت آخر فحص لموقعك. انقر على تحقق الآن لفحصه مجددًا. وأسفل ذلك:

• مراجعة الذكاء الاصطناعي: المراجعة الأعمق التي يجريها الذكاء الاصطناعي في المحادثة. انقر على بدء المراجعة. وهي تستهلك أرصدة.
• الفحوصات التلقائية: فحصا الحزم والشيفرة المجانيان، مع وقت آخر تشغيل لهما.
• مشكلات في شيفرتك: ما وجده فحص الشيفرة، بدءًا بالأشد خطورة.
• الحزم: كل حزمة بها مشكلة معروفة، والإصدار المثبّت، والإصدار الذي يصلحها، والإصدار المستخدم في موقعك المنشور. يحفظ خيار تنزيل القائمة هذه المعلومات في ملف.
• تحديثات الأمان التلقائية وراسلني بشأن المشكلات الحرجة ومنع النشر ما دامت هناك مشكلة حرجة مفتوحة.

فحص الحزم

يعتمد موقعك على حزم مفتوحة المصدر، مثل إطار العمل الذي يشغّله. يقارن فحص الحزم كل حزمة يستخدمها موقعك بقاعدة بيانات npm للتنبيهات الخاصة بمشكلات الأمان المعروفة.

يعمل تلقائيًا:

• كل يوم، للمواقع النشطة والمنشورة
• بعد أن ينتهي الذكاء الاصطناعي من البناء
• في كل مرة تنشر فيها، ليعكس ما هو منشور فعليًا

فحص الشيفرة

فحص الشيفرة مجاني ويعمل عند كل عملية نشر. ويمكنك أيضًا تشغيله في أي وقت من تبويب الأمان. يبحث عن الأخطاء الأكثر شيوعًا التي تكشف بيانات المواقع:

• مفاتيح سرية في شيفرة المتصفح. كل ما يحمّله المتصفح يمكن لأي شخص يفتح موقعك قراءته.
• قيم سرية في أسماء عامة. تصل الأسرار التي تبدأ أسماؤها بـ NEXT_PUBLIC_ إلى المتصفح. احتفظ بالمفاتيح الخاصة في أسماء لا تحتوي على هذه البادئة. راجع القيم العامة.
• مفاتيح الخدمة في شيفرة المتصفح. يتجاوز مفتاح الخدمة قواعد الوصول إلى قاعدة بياناتك، لذا يجب ألا يُستخدم إلا في شيفرة الخادم.
• جداول بلا أمان على مستوى الصفوف. بدونه، قد يتمكن أي شخص من قراءة صفوف الجدول أو تغييرها.
• مسارات مهام غير محمية. مهام مجدولة يمكن لأي شخص استدعاء مساراتها، وليس أداة الجدولة وحدها.
• عرض HTML غير آمن. قد يتيح عرض HTML الخام لشخص ما تشغيل نصوصه البرمجية على صفحاتك.
• إعدادات صور تنطوي على مخاطر. إعدادات صور تسمح بأكثر مما يحتاجه موقعك.

مراجعة الأمان بالذكاء الاصطناعي

تعمل مراجعة الأمان بالذكاء الاصطناعي في المحادثة عند تشغيلها عبر بدء المراجعة، وتستهلك أرصدة كأي رسالة. يقرأ الذكاء الاصطناعي شيفرة موقعك بالكامل، وقواعد الوصول إلى قاعدة بياناتك إن كانت متصلة، ويبحث عن مشكلات مرتبطة بطريقة عمل موقعك:

• من يمكنه قراءة كل نوع من البيانات أو تغييره
• الصفحات والإجراءات التي يجب أن تتحقق من تسجيل الدخول
• المدفوعات
• الحقن، أي التعامل مع ما يكتبه الزائر على أنه شيفرة أو استعلام لقاعدة البيانات
• بيانات تُعرض لأشخاص لا ينبغي لهم رؤيتها

يسرد ما يجده، بدءًا بالأشد خطورة، ويطلب إذنك قبل تغيير أي شيء. وتبقى نتائجه في المحادثة.

قراءة النتائج

توضح كل نتيجة المشكلة ومكانها ودرجة خطورتها: حرجة أو عالية أو متوسطة أو منخفضة. تُرتّب النتائج من الأكثر إلى الأقل خطورة، لذا ابدأ من الأعلى.

تذكر نتائج فحص الحزم اسم الحزمة والإصدارات المتأثرة والتنبيه الأمني، الذي يمكنك فتحه لقراءته بالكامل. وتذكر نتائج فحص الشيفرة الملف والسطر، ويُجري إصلاح بالذكاء الاصطناعي التغيير المطلوب. ويصلح إصلاح الكل بالذكاء الاصطناعي جميع المشكلات في شيفرتك دفعة واحدة.

لتنحية مشكلة جانبًا، انقر على إخفاء واختر السبب: مقصود على هذا الموقع أو أقبل المخاطرة أو إنه خاطئ أو حتى يتوفر حل، مع ملاحظة اختيارية. تُزال المشكلات المخفية من القائمة؛ ويعرضها إظهار المشكلات المخفية مجددًا، ويعيد استعادة أيًّا منها إلى القائمة.

لا يكشف أي فحص جميع المخاطر. يعني التقرير الخالي من المشكلات أن هذه الفحوصات لم تجد مشكلة، لا أن موقعك لا يمكن أن يحتوي على مشكلة. اختبر كل ما يتعامل مع تسجيل الدخول أو المدفوعات أو بيانات مستخدميك قبل الاعتماد عليه.

إصلاح المشكلات المكتشفة

• تحديثات الحزم. عند توفر إصدار من الحزمة يتضمن الإصلاح، انقر على تحديث لتحديث مسودتك إليه، ثم انشر لتطبيقه على الموقع المنشور. لا تغيّر الإصلاحات ضمن الإصدار الرئيسي نفسه طريقة عمل موقعك.
• إصلاح بالذكاء الاصطناعي. انقر على إصلاح بالذكاء الاصطناعي بجوار نتيجة ليطبّق الذكاء الاصطناعي الإصلاح المقترح. يُحفظ التغيير في سجل الإصدارات، لتتمكن من التراجع عنه.

لا تُطبَّق نيابةً عنك أي إصلاحات تتطلب أكثر من تحديث بسيط للإصدار، مثل الانتقال إلى إصدار رئيسي جديد أو تغيير شيفرتك. بل يُشار إليها مع خيار إصلاح بنقرة واحدة، لتقرر متى تطبّقها.

تحديثات الأمان التلقائية

عندما تحتوي حزمة يستخدمها موقعك على ثغرة حرجة، ويكون الإصلاح ضمن الإصدار الرئيسي نفسه، يحدّث WebTwizz موقعك المنشور نيابةً عنك:

1. تتغير إصدارات الحزم فقط. ولا تُمس شيفرة موقعك الخاصة أبدًا.
2. يعيد WebTwizz بناء النسخة المنشورة من موقعك. ولا تُنشر المسودات غير المكتملة أبدًا.
3. إذا فشلت إعادة البناء، تظل نسختك الحالية منشورة.
4. تُحفظ نقطة للتراجع في سجل الإصدارات. للتراجع عن التحديث، استعد الإصدار الذي سبقه.
5. إذا كان مشروعك متزامنًا مع GitHub، يُرسَل التحديث إليه على هيئة commit.
6. تصلك رسالة بريد إلكتروني توضح ما تغيّر.

يعيد WebTwizz أيضًا بناء المواقع المنشورة عندما يحصل Node.js، الذي يشغّلها، على إصلاح أمني. لا يتغير شيء في موقعك، ويظهر التحديث ضمن نتولى ذلك عنك.

تكون التحديثات التلقائية مفعّلة افتراضيًا للمواقع الجديدة. أما المواقع التي أُنشئت قبل توفر التحديثات التلقائية، فتكون معطّلة فيها. لتغيير ذلك لموقع ما، افتح الإعدادات < الأمان وفعّل تحديثات الأمان التلقائية أو عطّلها. إذا كانت هناك مشكلة يجري استغلالها فعليًا، فقد يطبّق WebTwizz التحديث رغم ذلك، وقد يوقف إتاحة الموقع حتى تُصلح المشكلة.

تنبيهات البريد الإلكتروني

• المشكلات الحرجة. عندما تظهر مشكلة حرجة جديدة في موقع منشور، تصلك رسالة على عنوان البريد الإلكتروني لحسابك. هذا الخيار مفعّل افتراضيًا. لإيقاف هذه الرسائل، عطّل راسلني بشأن المشكلات الحرجة في الإعدادات < الأمان.
• المشكلات عالية الخطورة. تصلك في رسالة بريد إلكتروني أسبوعية.

فحوصات النشر

تُشغّل كل عملية نشر فحص الحزم وفحص الشيفرة. وتظهر المشكلات الحرجة المفتوحة في صف الأمان في لوحة النشر.

لضمان عدم نشر موقع به مشكلة حرجة معروفة، فعّل منع النشر ما دامت هناك مشكلة حرجة مفتوحة في الإعدادات < الأمان. عندها ينتظر النشر حتى تُصلح كل مشكلة حرجة أو تُخفى. هذا الخيار معطّل افتراضيًا.

ما يتولاه WebTwizz

نحافظ على أمان هذه العناصر وتحديثها نيابةً عنك، دون الحاجة إلى أي إعداد:

• الأساس والقوالب. الأساس الذي يُبنى عليه كل موقع جديد، وكل قالب في المعرض.
• معاينتك. تعمل معاينة كل موقع في آلة افتراضية معزولة خاصة بها.
• الاستضافة. المواقع على عناوين webtwizz.app وعلى نطاقاتها الخاصة، مع HTTPS.
• الأسرار. تُخزَّن مشفّرة. تُدخلها في WebTwizz فقط، وليس في محادثة مع مساعد ذكاء اصطناعي. راجع الأسرار.
• المواقع المحمية بكلمة مرور والمواقع الخاصة. يُتحقق من صلاحية الوصول قبل تحميل الموقع. راجع إمكانية الظهور.

الإبلاغ عن مشكلة أمنية

إذا وجدت مشكلة أمنية في WebTwizz، أو في موقع مستضاف عليه، فأرسل رسالة إلى security@webtwizz.com. راجع webtwizz.com/security لمعرفة ما ينبغي تضمينه والاطلاع على التنبيهات السابقة.