مركز الثقة والأمان في CRY: معايير البرمجيات الدفاعية والبنية التحتية

في CRY نلتزم بمبدأي "الأمان افتراضياً" (Secure by Default) و"الحد الأدنى من الصلاحيات" (Least Privilege). نحرص على إبقاء المنافذ، الخدمات، والصلاحيات الضرورية فقط مفتوحة.

بدلاً من ادعاء شهادات أو أختام تسويقية غير قابلة للتحقق، نقوم بتطبيق آليات حماية حقيقية وقابلة للتدقيق مباشرة في بيئات الإنتاج الحية.

يتم تشفير كافة اتصالات الويب باستخدام أحدث بروتوكولات TLS 1.3 و TLS 1.2 مع تعطيل خوارزميات التشفير القديمة على مستوى خوادم الويب.

تُشفر بيانات الاعتماد الحساسة، مفاتيح API، ورموز التكامل المخزنة في قواعد البيانات باستخدام خوارزمية AES-256-GCM أو AES-256-CBC عبر مفاتيح تشفير محمية.

يتم إنشاء نسخ احتياطية لقواعد البيانات يومياً وبشكل تلقائي، وتُنقل إلى مساحات تخزين خارجية مشفرة ومعزولة كلياً عن خادم التطبيق الرئيسي.

نجري اختبارات استعادة دورية (Restore Tests) للتأكد من سلامة ملفات النسخ الاحتياطي وجاهزيتها للعمل الفوري عند الطوارئ.

تسجيل محاولات الدخول الفاشلة، تعديلات الصلاحيات الإدارية، طفرات أخطاء 404/403، والاستثناءات البرمجية بطوابع زمنية دقيقة.

حجب وتعتيم كلمات المرور، البيانات الشخصية الحساسة، وبيانات الدفع تلقائياً قبل كتابتها في ملفات السجلات.

تُفحص حزم Composer و npm بانتظام مقابل قواعد بيانات الثغرات المعتمدة (CVE و GitHub Advisory) ويتم تحديثها فور صدور الرقع الأمنية.

نطبق مبدأ تقليل الحزم الخارجية إلى أدنى حد ممكن ونتجنب استخدام أي مكتبات غير مدعومة أو زائدة عن الحاجة.

عند الاشتباه في وجود ثغرة أو نشاط غير معتاد، يتم عزل المكون المتأثر فوراً وإنهاء كافة الجلسات الإدارية النشطة ذات الصلة.

نقوم بتحليل جذور المشكلة عبر السجلات وتطبيق الرقع البرمجية وتقديم تقرير فني شفاف لأصحاب المصلحة المتأثرين.

في الأنظمة المستضافة على خوادم العميل أو حساباته السحابية الخاصة، تقع تحديثات نظام التشغيل وجدران الحماية (UFW) ومفاتيح SSH على عاتق مالك الخادم.

تتحمل CRY المسؤولية الكاملة عن أمان طبقة التطبيق البرمجية التي نسلمها وتقديم إرشادات تحصين الخوادم المعتمدة.

تُختبر التعديلات البرمجية في بيئات تجريبية منفصلة. وتحمي حزم الاختبارات التلقائية (PHPUnit) منطق العمل البرمجي وتمنع الانتكاسات.

تقوم عمليات النشر بإيقاف أدوات التصحيح (Debug Mode) وإزالة خرائط المصدر (Source Maps) وعزل متغيرات البيئة الحساسة.

إذا اكتشفت ثغرة أمنية في أنظمتنا أو مواقعنا، يرجى إبلاغنا بها بسرية عبر البريد security@cry.com.tr قبل نشرها للعموم.

نلتزم بالرد على البلاغات خلال 48 ساعة ومعالجة الثغرات المؤكدة بأعلى درجات السرعة والشفافية.

تتم معالجة البيانات الشخصية المجمعة عبر النماذج بشفافية كاملة مع إشعارات موافقة صريحة ومفهومة.

تُحترم خيارات المستخدم لملفات تعريف الارتباط (الضرورية مقابل التحليلية)، ولا تُفعل أدوات التتبع إلا بعد موافقة صريحة.

يجب أن تتسم كلمات مرور لوحة التحكم بتعقيد عالٍ، مع منع مشاركة الحسابات بين عدة موظفين نهائياً.

يجب تحديث أجهزة العمل الخاصة بالمديرين باستمرار وتوعية الموظفين بمخاطر هجمات التصيد الاحتيالي (Phishing).