الأمان

آخر تحديث: 22 أكتوبر 2026

هذه الترجمة مقدَّمة للتيسير فقط؛ وفي حال وجود أي اختلاف بينها وبين النسخة الإنجليزية، تكون النسخة الإنجليزية هي المرجع المعتمد.

الأمان ركيزة أساسية في Waslo. فنحن نتعامل مع اتصالات تجارية حساسة وبيانات عملاء محتملين، ونأخذ هذه المسؤولية على محمل الجد. وفيما يلي كيفية حمايتنا لبياناتك.

التشفير

أثناء النقل

جميع الاتصالات بين متصفحك وWaslo مشفّرة باستخدام TLS (HTTPS). كما أن طلبات API ورموز المصادقة وجميع عمليات نقل البيانات مشفّرة أثناء النقل.

أثناء التخزين

تُشفَّر البيانات الحساسة — بما في ذلك حالة مصادقة القنوات (جلسات WhatsApp، ورموز تحديث OAuth الخاصة بـ Outlook وGoogle Calendar وMeta، ورموز بوتات Telegram) وبيانات اعتماد تكاملات الأطراف الثالثة — أثناء التخزين باستخدام تشفير مُصادَق وفق معايير الصناعة قبل حفظها.

المصادقة والتحكم في الوصول

المصادقة القائمة على الرموز — تتم مصادقة جميع طلبات API باستخدام رموز آمنة ذات مدة صلاحية قابلة للتهيئة.
تجزئة كلمات المرور — تُجزَّأ كلمات المرور باستخدام خوارزميات تجزئة قوية ومُملَّحة قبل تخزينها.
التحقق بخطوتين (اختياري) — يمكن لأي مستخدم تفعيل الرموز من تطبيق مصادقة (Google Authenticator وMicrosoft Authenticator و1Password وغيرها) من الإعدادات ← الحساب. وعند تفعيله يُطلب بعد كل طريقة لتسجيل الدخول — كلمة المرور أو Google أو Apple — على الموقع وفي تطبيق iOS. كل رمز يصلح لمرة واحدة فقط، وتُحدَّد المحاولات الخاطئة لكل حساب، وتغطي عشرة رموز استرداد لمرة واحدة حالة فقدان الهاتف.
دعم OAuth — يوفّر تسجيل الدخول عبر Google وApple وGitHub خيارات مصادقة آمنة إضافية.
حماية تسجيل الدخول — يُقفل الحساب لمدة 15 دقيقة بعد تكرار إدخال كلمة مرور خاطئة، وتجيب نماذج «نسيت كلمة المرور» والتحقق بالجواب نفسه سواء كان البريد الإلكتروني مسجّلاً أم لا.
روابط الاستخدام الواحد مخزّنة بصيغة مُجزّأة — روابط إعادة تعيين كلمة المرور وتأكيد البريد الإلكتروني ودعوات الفريق لا تُخزَّن إلا بصيغة تجزئة، فلا تحتوي أي نسخة من قاعدة البيانات على رابط صالح للاستخدام.
تحديد معدل الطلبات — نقاط نهاية API محمية بتحديد معدل الطلبات لمنع هجمات القوة الغاشمة وإساءة الاستخدام.
ترويسات الأمان — نفرض ترويسات HTTP موجّهة للأمان، بما في ذلك Content Security Policy وX-Frame-Options وغيرها.

عزل البيانات بين المستأجرين

Waslo منصة متعددة المستأجرين. ويُقيَّد كل استعلام للبيانات بنطاق المؤسسة المستخرَجة من الجلسة المصادَق عليها. ويضمن ذلك ألا تتمكن أي مؤسسة أبداً من الوصول إلى بيانات مؤسسة أخرى — بما في ذلك العملاء المحتملون والمحادثات والإعدادات والتكاملات.

المراقبة الأمنية

يحتفظ Waslo بسجل تدقيق أمني للطلبات المرفوضة والمشبوهة: محاولات قراءة بيانات مساحة عمل أخرى أو تعديلها، وwebhooks التي تفشل في التحقق من التوقيع، وروابط تشير إلى شبكتنا الداخلية، وعمليات تسجيل الدخول ورموز الخطوتين الفاشلة، ومفاتيح API غير الصالحة، وموجات الطلبات المرفوضة. وتُجمَّع الموجات الصادرة من عنوان واحد بدلاً من تسجيلها واحدة واحدة. وتنبّه الأحداث عالية الخطورة فريقنا لحظة وقوعها، ويُراجَع ملخص يومي. لا يحتفظ السجل بمحتوى الرسائل ولا كلمات المرور ولا الرموز، ويُحذف بعد 180 يوماً.

البنية التحتية

تُستضاف منصتنا على بنية تحتية سحابية بمستوى المؤسسات، تتضمن:

HTTPS تلقائياً وحماية من هجمات حجب الخدمة الموزّعة (DDoS)
شبكة توصيل محتوى (CDN) عالمية لوصول سريع وموثوق
عزلاً شبكياً بين الخدمات
اتصالات مشفّرة بقواعد البيانات ونسخاً احتياطية منتظمة
شبكات خاصة للاتصال بين الخدمات الداخلية

ممارسات أمان التطبيقات

التحقق من صحة المدخلات في جميع نقاط نهاية API لمنع هجمات الحقن
قيود CORS لمنع الطلبات غير المصرّح بها عبر النطاقات المختلفة
فحوصات عدم التكرار (Idempotency) عند معالجة الرسائل لمنع معالجتها أكثر من مرة
عدم وجود بيانات اعتماد افتراضية — إذ يتطلب كل وصول إداري تهيئة صريحة
معالجة مشفّرة لطابور الرسائل لضمان تدفق بيانات موثوق وآمن

الدردشة على المواقع الإلكترونية

رموز زوّار مُجزّأة — الرمز الذي يعيد ربط الزائر بمحادثته لا يُخزَّن لدينا إلا بصيغة تجزئة SHA-256.
المواقع المحدّدة فقط — لا ترد الأداة إلا على عناوين المواقع الإلكترونية التي حدّدتها المنشأة؛ وتُرفض الطلبات الواردة من أي مصدر آخر.
التحقق من البوتات — يجري فحص Cloudflare Turnstile عندما يفتح الزائر الدردشة لأول مرة.
نطاق منفصل — تُقدَّم الأداة من waslo.org، بمعزل عن لوحة تحكم waslo.io، فلا تتشارك معها أبداً ملفات تعريف الارتباط أو الجلسات.

أداة الزحف على المواقع الإلكترونية

تعرّف عن نفسها باسم WasloSiteBot/1.0 وتلتزم بملف robots.txt.
لا تقرأ إلا صفحات HTTPS العامة على الموقع نفسه، وترفض عناوين الشبكات الخاصة.
ما يصل إلى 3 عمليات فحص لكل مساحة عمل يومياً؛ وتراجع المنشأة الصفحات قبل استيراد أي شيء.

ما لا نفعله

لا نخزّن بيانات اعتماد القنوات بصيغتها الخام — فكل جلسة WhatsApp ورمز OAuth ورمز بوت مشفّر أثناء التخزين
لا نشارك بياناتك مع أطراف ثالثة لأغراض إعلانية
لا نستخدم بيانات محادثاتك لتدريب نماذج الذكاء الاصطناعي

المراجعة المستقلة

تخضع Waslo لمراجعة المنصات التي تتكامل معها، ولتدقيقات أمنية هجومية لشيفرتنا البرمجية.

Microsoft — ناشر موثَّق (29 مايو 2026). يعتمد الوصول إلى Outlook على Microsoft Graph.
Google — اجتياز التحقق من OAuth (8 يونيو 2026). صلاحيات التقويم فقط؛ ولا نطلب أبداً صلاحيات صندوق البريد التي لا نستخدمها.
Meta — الموافقة على مراجعة التطبيق ونشره (30 يونيو 2026). تشمل صلاحيات المراسلة في WhatsApp Cloud API وInstagram وMessenger.

في يوليو 2026، أجرينا تدقيقين أمنيين هجوميين لواجهة API العامة. وكشفت الجولتان عن ثغرات، وأُصلحت جميعها في الجولتين وغُطّيت باختبارات انحدار قبل الإصدار — بما في ذلك تجاوز لحماية تزوير الطلبات من جانب الخادم (SSRF)، ومعامل حالة OAuth غير موقَّع، وحالة تسابق في خصم الرصيد. ونحن ننشر ذلك لأن التدقيق الذي لا يكتشف شيئاً هو في الغالب تدقيق لم يبحث جيداً.

أين توجد بياناتك

التطبيق وقاعدة البيانات — مستضافان على بنية تحتية سحابية مُدارة في الاتحاد الأوروبي، مع اتصالات مشفّرة وشبكات خاصة ونسخ احتياطية آلية.
المعالجون الفرعيون — نستعين بمجموعة صغيرة من المزوّدين المحدّدين بالاسم للاستضافة وقاعدة البيانات وطوابير المعالجة والبريد الإلكتروني للمعاملات وتخزين الوسائط ومراقبة الأخطاء والمدفوعات والتحقق من البوتات في الدردشة على المواقع الإلكترونية (Cloudflare Turnstile). ويلتزم كل منهم بشروط معالجة البيانات الخاصة به. والقائمة الحالية منشورة في سياسة الخصوصية الخاصة بنا، ويُشار إليها في اتفاقية معالجة البيانات.
معالجة الذكاء الاصطناعي — يُرسَل محتوى الرسائل إلى مزوّد النموذج لتوليد الرد. ولا يُستخدم لتدريب نماذجه.

الاحتفاظ والحذف

يمكنك حذف حسابك من لوحة التحكم في أي وقت؛ ويؤدي الحذف إلى إزالة بيانات مؤسستك وفق جدول زمني مدته 30 يوماً.
يُحتفظ ببيانات المحادثات والعملاء المحتملين طوال فترة نشاط حسابك، لأن المنتج يحتاج إليها للرد مع مراعاة السياق.
يُحذف زوّار الدردشة المجهولو الهوية على المواقع الإلكترونية وفق الجدول الزمني الذي تختاره المنشأة (من 30 إلى 365 يوماً بعد آخر رسالة لهم، و180 يوماً افتراضياً)، وتُحذف نتائج فحص المواقع الإلكترونية بعد 30 يوماً.
تنتهي صلاحية العناصر المؤقتة — مثل الملفات الصوتية المستضافة وروابط الوسائط وعدّادات تحديد معدل الطلبات — تلقائياً، وعادةً خلال دقائق.

ما لا ندّعيه

لسنا حاصلين على شهادة SOC 2 أو ISO 27001، ولا نحمل اعتمادات HIPAA أو PCI، ولا نوفّر تسجيل الدخول الموحّد (SSO أو SAML) حتى الآن. نحن فريق صغير يبني على بنية تحتية خاضعة للتدقيق، ونفضّل أن نصارحك بذلك على أن نوحي بشهادة لم نحصل عليها. وإذا كانت إجراءات الشراء لديك تتطلب إحداها، فأخبرنا بذلك قبل الشراء.

الإبلاغ عن المشكلات الأمنية

إذا اكتشفت ثغرة أمنية، يُرجى الإبلاغ عنها بمسؤولية عبر مراسلة hello@waslo.io مع جعل عنوان الرسالة "Security Report". ونحن نأخذ جميع البلاغات على محمل الجد وسنرد عليها على وجه السرعة.