عزل المستأجرين
- ترويسة مساحة عمل نشطة صريحة
- فحوص العضوية من جهة الخادم
- حقول ملكية غير قابلة للتغيير
- serializers عامة منفصلة
- وسائط ومفاتيح محددة النطاق بمساحة العمل
- قراءات المورّد ثنائية المستأجرين
الأمان / مركز الثقة
الأمان سطح،
الأمان سطح،
لا شريحة عرض.
تتعامل FastRestful مع عزل المستأجرين وحفظ المفاتيح وسلامة البوابة وتسوية المزوّد وأدلة التدقيق كسلوك للمنتج. تشرح هذه الصفحة الحدود والضوابط التي ترثها — وتلك التي يجب أن تشغّلها.
حفظ المفاتيح
- تُعاد المفاتيح الخام مرة واحدة
- تجزئة بحث SHA-256
- نسخة خادم مشفرة بـ Fernet
- نطاقات: كامل / تنفيذ / قراءة
- التدوير والإبطال
- اشتراكات مرتبطة بالتطبيق
سلامة البوابة
- منابع عامة عبر HTTPS فقط
- تحقق DNS + IP مثبّت
- عدم اتباع إعادة التوجيه
- حدود المهلة والجسم والتحميل
- إنفاذ الحصص وحدود المعدل
- معاينات استجابة محجوبة البيانات
الهوية
- رموز وصول لمدة 15 دقيقة
- تحديث متناوب + قائمة حظر
- التحقق بخطوتين عبر TOTP
- OIDC وSAML 2.0
- دعوات بريد إلكتروني للاستخدام مرة واحدة
- فريق العمل منفصل عن إدارة مساحة العمل
الأموال
- webhooks موقّعة من المزوّد
- معرّفات الأحداث تُسجّل مرة واحدة
- فحوص المبلغ والعملة
- استردادات idempotent
- حالات دفعات رتيبة التقدم
- دفتر أستاذ غير قابل للتعديل
التدقيق
- الفاعل + الهدف + البيانات الوصفية
- أحداث الإعدادات والإشراف
- إيصالات المزوّد
- قيود دفتر أستاذ غير قابلة للتعديل
- مهام التصدير
- ضوابط الاحتفاظ
المحتوى
- أقسام منظمة، لا HTML خام
- تحقق آمن من الروابط
- فحوص توقيع التحميل
- CSS/JS مخصصة موثوقة فقط
- دعم CSP nonce
- فصل المسودة عن النشر
العمليات
- فحوص الصحة
- وضع الصيانة
- بوابة مغلقة عند الفشل بذاكرة مؤقتة مشتركة
- فصل عامل Celery
- النسخ الاحتياطي ومسار الاستعادة
- فحوص النشر
حدود الثقة
ما يعبر الحدود — وما لا يعبرها.
تحتفظ FastRestful بالأسرار على الخادم، وتعزل مساحات العمل قبل كل وصول إلى قاعدة البيانات، ولا تسلّم المتصفح أبدًا بيانات اعتماد المنبع.
01المتصفح → API
- مصادقة JWT أو الجلسة
- ترويسة مساحة عمل صريحة
- حماية CSRF عند الكتابة
- أصول مسموحة صارمة
- لا يُعاد سر المزوّد الخام
- لا مفتاح API خام بعد الإنشاء
02API → قاعدة البيانات
- تحديد نطاق المستأجر قبل الاستعلام
- فحوص أذونات على مستوى الكائن
- حقول ملكية غير قابلة للتغيير
- تغييرات حالة آمنة للمعاملات
- فصل serializers العامة/الخاصة
- أحداث تدقيق على الإجراءات الحساسة
03البوابة → المنبع
- عناوين HTTPS العامة فقط
- لا أهداف خاصة أو loopback أو link-local
- لا إعادة توجيه
- عنوان DNS مثبّت
- حدود المهلة والجسم
- سجلات محجوبة البيانات
04المزوّد → المنصة
- التحقق من التوقيع
- الإغلاق عند غياب الأسرار
- إيصال الحدث قبل التسوية
- التحقق من المبلغ/العملة
- معالجة idempotent لإعادة المحاولة
- لا احتفاظ بالحمولة الخام
05الإدارة → الموقع العام
- المحتوى المنشور فقط يعبر الحدود
- فصل المسودات والمحتوى القانوني
- عقد العلامة التجارية العامة
- تبقى الإعدادات التشغيلية خاصة
- الأصول المخصصة شيفرة مشغّل موثوقة
- المعاينة محددة النطاق صراحةً
06المشغّل → البنية التحتية
- قاعدة بياناتك ونسخك الاحتياطية
- سياسة تخزين الكائنات لديك
- TLS وDNS لديك
- مدير أسرارك
- المراقبة والاحتفاظ لديك
- عملية معالجة الحوادث لديك
إعدادات التقوية الافتراضية
الإنتاج هو المسار الصارم.
تفشل FastRestful سريعًا عندما يكون إعداد الإنتاج غير مكتمل بدلًا من العمل بهدوء بقيم التطوير الافتراضية.
لا بدء إنتاج غير آمن.
يتطلب الإنتاج سرًا بطول 50 حرفًا أو أكثر ومفتاح Fernet صالحًا وPostgreSQL ومضيفين مسموحين صراحةً وأصول CORS/CSRF وRedis.
- إعادة توجيه HTTPS وHSTS
- ملفات تعريف ارتباط آمنة
- سياسة إحالة صارمة
- أمر فحص النشر
أقل امتياز، افتراضيًا.
تُضيّق مفاتيح API إلى تنفيذ أو قراءة. تفصل أدوار مساحة العمل الفوترة وإدارة الفريق. وصول فريق العمل حدّ إذن منفصل.
- Owner/admin/developer/billing/viewer
- حماية آخر مالك
- أذونات نموذج الإدارة
- إنفاذ المصادقة الثنائية
يجب ألا تعيد المحاولات كتابة السجل.
أحداث المزوّد وقيود دفتر الأستاذ غير قابلة للتعديل. تُؤكَّد عمليات الإعادة دون تسوية مزدوجة، وتحتفظ الحالات غير المؤكدة بالأموال بدلًا من التخمين.
- إيصالات أحداث المزوّد
- حجوزات الاسترداد
- تسوية الدفعات
- صادرات التدقيق
المسؤولية المشتركة
أنت تملك النشر، ونحن نجعل الإعدادات الافتراضية قابلة للدفاع.
FastRestful مستضافة ذاتيًا. يتحكم المشغّل في البنية التحتية والمزوّدين ودورة حياة البيانات؛ وتفرض المنصة حدودًا على مستوى التطبيق.
FastRestfulضوابط التطبيق
- تفويض ضمن نطاق المستأجر
- تجزئة المفاتيح وتشفيرها
- حماية SSRF في البوابة والحصص
- معالجة أحداث المزوّد الموقّعة
- أدلة التدقيق والإشراف
- serializers عامة آمنة
المشغّلالبنية التحتية
- الشبكة والجدار الناري
- شهادات TLS وDNS
- ترقيع قاعدة البيانات والنسخ الاحتياطي
- توافر Redis والعامل
- سياسة حاوية S3 وCDN
- المراقبة والاستجابة للحوادث
المشغّلحسابات المزوّدين
- حسابات التاجر والدفعات
- تسجيل webhook
- مفاتيح API الخاصة بالمزوّد
- مصادقة نطاق الإرسال
- إعداد مزوّد الهوية
- شروط المزوّد المتفاوض عليها
المشغّلدورة حياة البيانات
- سياسة الاحتفاظ
- تشفير النسخ الاحتياطي
- اختبار الاستعادة
- مراجعة التصدير
- النصوص القانونية والخصوصية
- ضوابط خاصة بالولاية القضائية
لا ادعاءات بشأن الشهادات. تصف هذه الصفحة عناصر التحكم المضمّنة في التطبيق. لا يدّعي FastRestful حصوله على SOC 2 أو ISO 27001 أو PCI DSS أو HIPAA أو أي شهادة أخرى. يجب على المشغّلين إكمال تقييم الامتثال الخاص بهم لنشرهم ومزوّديهم.
أبلغ عن مشكلة
هل وجدت شيئًا لا ينبغي أن يعبر الحدود؟
أرسل وصفًا ملموسًا لإعادة الإنتاج والمسار أو الإصدار المتأثر والتأثير. لا تُدرج مفاتيح API حية أو بيانات عملاء أو أسرار مزوّد.
الطلب → الحدث
تجزئة مفتاح API · اشتراك · حصة · endpoint
حدث استخدام · سجل طلبات · حدث تدقيق · إيصال مزوّد