الأمان في FlexVibe

• تعمل صفحاتنا وواجهتنا البرمجية عبر HTTPS فقط، ونطلب من المتصفحات ألا تتصل بنا دونه أبدًا (HSTS).
• تشفّر قاعدة بياناتنا (Neon) وخدمة تخزين الملفات (Cloudflare R2) البيانات التي تخزّنانها.
• نحفظ المفاتيح وبيانات الاعتماد التي تمنحها لـFlexVibe، مثل مفاتيح API لتطبيقك وترويسات الموصّلات ورموز الوصول إلى Linear وSlack ومفتاح الخلفية البرمجية Convex لتطبيقك، مشفّرةً بخوارزمية AES-256-GCM وبطريقة التشفير المغلَّف: تحصل كل قيمة جديدة على مفتاح بيانات خاص بها، وهذا المفتاح مشفّر بدوره بمفتاح رئيسي محفوظ خارج قاعدة البيانات. وترتبط كل قيمة بمساحة عملها، فلا يمكن فك تشفيرها إذا نُسخت إلى مكان آخر.
• نحفظ كلمات المرور مشفّرة بطريقة لا تُستعاد، ولا نحفظها نصًّا صريحًا أبدًا.

• سجّل الدخول بالبريد الإلكتروني وكلمة المرور، أو بحساب Google.
• تُحفظ جلسة دخولك في ملف تعريف ارتباط آمن مرتبط بموقعنا، ولا يُرسَل إلا عبر HTTPS.
• اطّلع على جلساتك النشطة من الإعدادات، وأنهِ أي جلسة لا تعرفها.
• ترفض واجهتنا البرمجية أي تغيير لا يأتي من صفحات FlexVibe نفسها.
• التحقق بخطوتين غير متاح بعد.

• ينتمي كل مشروع إلى مساحة عمل. ومع كل طلب يخص مشروعًا، تتحقق خوادمنا من أنك عضو في مساحة العمل وأن دورك يسمح بهذا الإجراء.
• الأدوار هي: المالك والمشرف والعضو والمشاهد. ويستطيع المشاهد فتح المشاريع والاطلاع على سجلّها، دون تشغيل الوكيل أو تعديل التطبيقات.
• ينضم أعضاء الفريق إلى مساحة العمل بدعوة، وبالدور الذي يختاره المالك أو المشرف.
• تعرض إعدادات الفريق سجلًّا بالدعوات وتغييرات الأدوار وإزالة الأعضاء ونقل الملكية.
• حين تتصل خدماتنا بالوكيل، مثل قناة واتساب أو مهمة حذف مشروع، تستخدم رموز وصول تنتهي صلاحيتها بعد 5 دقائق، وتقتصر على مستخدم واحد أو مساحة عمل واحدة.

• يعمل الكود الذي يكتبه FlexVibe في بيئة سحابية معزولة ومنفصلة لكل مشروع تقدّمها E2B، وليس على الخوادم التي تشغّل FlexVibe نفسه.
• تتوقف هذه البيئات مؤقتًا عندما لا تُستخدم.
• ويُحفظ كود كل مشروع أيضًا في مستودع خاص على GitHub يديره FlexVibe.

• إذا بدت رسالتك وكأنها تحتوي على مفتاح سري، مثل مفتاح API، فلن يرسلها FlexVibe وسيطلب منك إزالة المفتاح. ويُجري خادم الوكيل الفحص نفسه ويرفض أي طلب يحتوي على مفتاح.
• وقبل أن تصل نتائج أدوات الوكيل إلى أي نموذج ذكاء اصطناعي أو إلى سجل المحادثة، نُخفي كل ما يبدو مفتاحًا سريًّا.
• حين يحتاج تطبيقك إلى مفتاح، يطلبه الوكيل عبر نموذج آمن: تذهب القيمة مباشرة إلى خزنة مشفّرة ولا تُعرض مرة أخرى، ولا تقبل بيئتا التطوير والمعاينة إلا مفاتيح الاختبار.
• كلما حُفظ مفتاح مخزّن أو استُبدل أو حُذف أو استُخدم، نسجّل من فعل ذلك ولماذا، دون القيمة نفسها أبدًا.

• عندما يحاول الوكيل تنفيذ أمر من قائمتنا للأوامر الخطرة، مثل الدفع القسري للكود، أو حذف مجلدات غير مجلدات البناء، أو حذف جداول قاعدة البيانات، أو نشر حزمة، أو استخدام sudo، يتوقف ويطلب منك الموافقة على الأمر أو تعديله أو رفضه.
• تحتاج هذه الأوامر إلى موافقتك في كل مرة، ولا نعرض لها خيار «اسمح دائمًا» أبدًا.
• ولبعض الإجراءات الأخرى يمكنك اختيار «اسمح دائمًا» في مشروع واحد، ثم مراجعة هذه الاختيارات وإزالتها من «الأذونات» في المشروع.
• بعد أن يقرأ الوكيل محتوى خارجيًّا، مثل صفحة ويب أو ملف مرفوع، يستأذنك قبل أي إجراء يحذف أو ينفق أو ينشر أو يقرأ مفتاحًا سريًّا أو يرسل بيانات إلى الخارج، ويتجاهل «اسمح دائمًا» حتى رسالتك التالية.
• تغطي القائمة الصيغ المعتادة لهذه الأوامر، لا كل صيغة ممكنة، لذا تابِع ما يفعله الوكيل.

• تُستضاف التطبيقات المنشورة على Cloudflare Pages.
• يجري فحص أمني قبل النشر، ويمكنه إيقاف الإصدار إذا وجد مشكلة حرجة.

• تتولى Polar صفحة الدفع وبوابة الفوترة، فتُدخل بيانات بطاقتك في صفحات Polar، ولا تصل أرقام البطاقات إلى FlexVibe أبدًا.
• ونتحقق من توقيع كل إشعار دفع يصلنا من Polar.

• تُرسَل صفحاتنا مع ترويسات أمان قياسية: اتصال عبر HTTPS فقط (HSTS)، ومنع تضمين صفحاتنا في مواقع أخرى، ومنع تخمين نوع المحتوى.
• نطبّق سياسة أمان المحتوى (CSP) على كل صفحة: يحظر متصفحك السكربتات والإطارات والاتصالات التي لم نسمح بها، ويُبلغنا بالمحاولة.

نستخدم PostHog لتحليلات المنتج، مع استثناء رسائل المحادثة وحذف معاملات الاستعلام من الروابط. التفاصيل في سياسة الخصوصية.

لا يحمل FlexVibe بعدُ شهادة أمان رسمية ولا تقرير تدقيق مستقلًّا. تعرض هذه الصفحة الضوابط المطبّقة اليوم، وسنحدّثها حين يتغيّر ذلك.

إذا اكتشفنا حادثًا أمنيًّا، نحقق فيه ونحتويه ونعالج سببه.

وإذا أثّر في بياناتك الشخصية، نُبلغك، ونُبلغ الجهات المختصة حين يفرض القانون ذلك، دون تأخير غير مبرَّر.

• راسلنا على contact@flexvibe.dev بما وجدته، وخطوات تكراره، وأثره.
• اختبر بحسابك وبياناتك فقط، ولا تطّلع على بيانات غيرك أو تغيّرها، ولا تعطّل الخدمة، مثل هجمات حجب الخدمة أو الرسائل المزعجة أو الهندسة الاجتماعية.
• امنحنا وقتًا معقولًا لإصلاح المشكلة قبل أن تنشرها للعامة، وسنؤكد استلام بلاغك ونطلعك على ما يستجد.
• إذا التزمت بهذه القواعد بحسن نية، فلن نتخذ أي إجراء قانوني ضدك بسبب بحثك.
• لا نقدّم بعدُ مكافآت مالية مقابل الإبلاغ عن الثغرات.