رمز عبور
scrypt با N=65536، نمک تصادفی ۱۶ بایتی و مقایسهٔ زمان‌ثابت. رمز خام هیچ‌جا ذخیره نمی‌شود.
امنیت
امنیت، از دسترسی تا داده
کنترل‌هایی که در کد پیاده شده‌اند؛ جزئیات فنی در صفحهٔ امنیت آمده است.
نشست
توکن تصادفی ۳۲ بایتی؛ فقط هش آن در پایگاه‌داده. کوکی httpOnly، SameSite=Lax، Secure روی HTTPS و انقضای مطلق.
ورود و بازیابی
قفل بعد از ۱۰ خطا، محدودیت نرخ بر اساس IP و حساب، پیام یکسان برای ایمیل ناشناس و رمز اشتباه.
ورود دو مرحله‌ای
TOTP سازگار با Google Authenticator و کدهای بازیابی هش‌شده برای حساب‌های owner و admin.
CSRF
هر درخواست تغییردهنده باید Origin یا Sec-Fetch-Site هم‌مبدأ داشته باشد. CORS باز وجود ندارد.
جداسازی سازمان
همهٔ کوئری‌ها org_id دارند و نقش owner/admin/member/viewer سمت سرور اعمال می‌شود.
کلید API و وبهوک
کلیدها هش‌شده با scope و امکان ابطال. وبهوک با HMAC-SHA256 و محافظت در برابر SSRF.
رمز یکپارچه‌سازی
توکن Google، بینگ و سایر سرویس‌ها با AES-256-GCM و کلیدی مشتق از APP_SECRET رمز می‌شود.
آپلود فایل
حداکثر ۱۰MB، بررسی امضای واقعی فایل برای تصاویر و Content-Disposition: attachment برای بقیه.
هدرهای امنیتی
CSP، nosniff، X-Frame-Options: DENY، Referrer-Policy، Permissions-Policy و HSTS اختیاری روی صفحات و API.
پرداخت
بازگشت درگاه با تراکنش اتمی ثبت می‌شود؛ یک callback دوباره پرداخت را ثبت نمی‌کند.
بکاپ
بکاپ روزانهٔ پایگاه‌داده با نگهداری کوتاه‌مدت و امکان بازیابی خارج از سرور، بخشی از استقرار استاندارد است.
رمز و نشست
رمز با scrypt و نمک اختصاصی؛ توکن نشست فقط به‌صورت هش ذخیره می‌شود.
جداسازی سازمان
هر کوئری با شناسهٔ سازمان محدود می‌شود و منبع سازمان دیگر ۴۰۴ برمی‌گرداند.
وبهوک امضاشده
امضای HMAC با timestamp؛ تلاش مجدد و لاگ تحویل برای هر رخداد.
اسرار رمزنگاری‌شده
توکن اتصال با AES-256-GCM رمز می‌شود و هرگز به مرورگر برنمی‌گردد.
گارانتی سمت سرور
پایان گارانتی یعنی حالت فقط‌خواندنی؛ محدودیت در رابط کاربری نیست.
ممیزی و خروجی
اقدام حساس ثبت می‌شود و هر سازمان می‌تواند داده‌اش را کامل خروجی بگیرد.
این صفحه کنترل‌های موجود در کد را توضیح می‌دهد؛ جایگزین آزمون نفوذ یا تعهد رسمی نیست. برای گزارش آسیب‌پذیری، از مسیر پشتیبانی پیام بدهید و جزئیات را عمومی نکنید.