الأمان

1. الاستضافة والتشفير

يعمل QR Wait على شبكة Cloudflare (Workers وDurable Objects) ويخزّن بياناته هناك. كل اتصال مشفّر عبر HTTPS (TLS)، ويُطلب من المتصفحات ألا تستخدم إلا HTTPS على qrwait.app وجميع نطاقاته الفرعية (HSTS لمدة عام).

تأتي الصفحات مع سياسة صارمة لأمان المحتوى (CSP): لا تُحمَّل البرامج النصية إلا من QR Wait وCloudflare، ولا يمكن لأي موقع آخر عرض QR Wait داخل إطار.

تذكر Cloudflare أنها حاصلة على اعتمادات ISO/IEC 27001 وISO/IEC 27701 وISO/IEC 27018 (Cloudflare Trust Hub). هذه اعتمادات Cloudflare؛ أما QR Wait نفسه فلا يحمل أي شهادة.

2. الحسابات وتسجيل الدخول

• لا تُحفظ كلمات المرور إلا كتجزئة PBKDF2-SHA-256 مملّحة. تُرفض كلمة المرور الجديدة إن ظهرت في تسريبات بيانات معروفة؛ ولهذا الفحص لا يغادر QR Wait سوى أول 5 أحرف من تجزئة SHA-1 الخاصة بها (إخفاء الهوية k-anonymity).
• الدخول بخطوتين عبر تطبيق مصادقة (TOTP) مع رموز استرداد تُستخدم مرة واحدة. يرى المالكون أي أعضاء الفريق فعّلوه.
• لكل عضو في الفريق دور (مالك أو مدير أو موظف)، وإن كان مقيّدًا فلا يفتح إلا الطوابير المسندة إليه.
• بعد 5 محاولات دخول فاشلة إلى حساب خلال 24 ساعة، يتطلب الدخول أيضًا فحصًا للتحقق من أنك لست روبوتًا (Cloudflare Turnstile).
• تُرسَل رسالة بريد إلكتروني عند الدخول إلى الحساب من متصفح جديد.
• تنتهي الجلسة بعد 14 يومًا دون استخدام؛ وتغيير كلمة المرور أو «تسجيل الخروج من الأجهزة الأخرى» ينهي كل الجلسات الأخرى.
• روابط التحقق وإعادة تعيين كلمة المرور والدعوات تُستخدم مرة واحدة، ولا تُحفظ إلا تجزئاتها.

3. حدود الطلبات

تُقيَّد الطلبات لكل عنوان IP على حافة شبكة Cloudflare: تسجيل الدخول والتسجيل وإعادة تعيين كلمة المرور 10 في الدقيقة، والانضمام إلى طابور 60 في الدقيقة، وواجهة REST API ‏120 في الدقيقة لكل مفتاح و120 في الدقيقة لكل عنوان IP.

4. بيانات الزوار

• لا يُطلب من الزوار أبدًا رقم هاتف أو بريد إلكتروني. ولا يُطلب الاسم إلا إذا فعّل النشاط التجاري ذلك للطابور.
• تُحذف التذكرة، بما فيها من اسم وإجابات نموذج الانضمام، بعد 24 ساعة على الأكثر من الانضمام، أيًّا كانت إعدادات الطابور.
• لا يُحفظ أي موقع. حين يتحقق الطابور من الموقع، لا يُحفظ مع التذكرة إلا المسافة إلى الطابور ووقت قياسها.
• يتغير رمز QR المعروض على شاشة الموظف كل 15 إلى 75 ثانية، ويعمل كل رمز من دقيقة إلى 5 دقائق، فلا تُدخل صورةٌ تُشارَك في مكان آخر أحدًا.
• يُسجَّل ما يفعله الموظفون في اللوحة لمدة 30 يومًا، ويمكن سحب روابط الموظفين في أي وقت.

5. النسخ الاحتياطية

ما لا يمكن إعادة بنائه (الحسابات، وإعدادات الطوابير، وأرصدة التذاكر) يُصدَّر يوميًا إلى Cloudflare R2 ويُشفَّر قبل كتابته: كل جزء بمفتاح AES-256-GCM خاص به، وهذا المفتاح نفسه مشفّر بمفتاح عام (RSA-OAEP). ويُحفظ المفتاح الخاص الذي يفتحها دون اتصال بالإنترنت. وتُحفظ عمليات التصدير 35 يومًا.

لا تدخل التذاكر أبدًا في نسخة احتياطية: فهي تحمل أسماء الزوار ولا تبقى أكثر من يوم.

6. عمليات التكامل

• تُوقَّع الـ webhooks بسرّ يُعرض مرة واحدة (HMAC-SHA256 مع طابع زمني)، ولا تُرسَل إلا إلى عناوين https عامة. ولا تحمل إلا الأرقام والأوقات، ما لم يسمح النشاط التجاري بالأسماء لعنوان ما.
• تُعرض مفاتيح API مرة واحدة ولا تُحفظ إلا كتجزئة SHA-256. المفتاح إما للقراءة فقط أو للقراءة والكتابة، ويمكن إلغاؤه في أي وقت.
• التفاصيل للمطورين: مرجع الـ API والـ webhooks (بالإنجليزية).

7. المعالجون الفرعيون

تعالج هذه الشركات البيانات نيابة عن QR Wait لتشغيل الخدمة:

تمر إشعارات المتصفح عبر خدمة الدفع الخاصة بمتصفح الزائر نفسه. وتشرح سياسة الخصوصية كيف تُنقل البيانات خارج تركيا والاتحاد الأوروبي.

8. الإبلاغ عن ثغرة أمنية

راسلونا على hello@qrwait.app بعنوان «Security». نؤكد الاستلام خلال 3 أيام عمل ونرسل تقييمًا أوليًا خلال 10 أيام عمل. يُرجى عدم الكشف عن المشكلة حتى إصلاحها، وعدم الاختبار إلا على حساباتكم وطوابيركم.

لن نتخذ أي إجراء قانوني ضد الأبحاث التي تلتزم بهذه القواعد بحسن نية. لا يوجد برنامج مكافآت مدفوع. وبيانات الاتصال نفسها بصيغة تقرؤها الآلات: security.txt.