أمان الواجهة البرمجية

كيف تُحمى المفاتيح

• المفاتيح أسرار عشوائية طويلة. لا تحفظ وندرفاتورة إلا بصمتها وتعرض المفتاح مرة واحدة.
• تنتهي المفاتيح (من 30 إلى 365 يومًا) ويمكن تجديدها أو إلغاؤها في أي وقت.
• لا تُقبل المفاتيح إلا في الترويسات، وليس في الروابط أبدًا.
• المحاولات الفاشلة المتكررة من عنوان واحد تُرفض لفترة.
• المفتاح محدود بصلاحياته وبالصلاحيات الحالية لمن أنشأه.
• يُسجل إنشاء المفاتيح وتجديدها وإلغاؤها في سجل تدقيق المنشأة.

العزل بين المنشآت

المنشأة يحددها المفتاح. المعرّفات التابعة لمنشآت أخرى تُعامل تمامًا كمعرّفات غير موجودة، فلا تؤكد الواجهة أبدًا وجود سجل لمنشأة أخرى.

البيانات في الردود

• HTTPS فقط.
• لا تحتوي الردود إلا الحقول الموثقة.
• لا تحمل الأخطاء أي تفاصيل داخلية؛ والخلل غير المتوقع يعيد server_error عامًا.

ما نطلبه منك

• احفظ المفاتيح على خوادمك، في متغيرات بيئة أو مدير أسرار؛ لا في المتصفحات ولا تطبيقات الجوال ولا السجلات ولا المستودعات.
• استخدم مفتاحًا لكل نظام بالصلاحيات التي يحتاجها فقط، ومفتاحًا مستقلًا للإصدار متى أمكن.
• جدّد المفاتيح بانتظام، وفورًا إن احتمل تسرب أحدها؛ وألغِ المفاتيح التي لم تعد تستخدمها.
• أرسل external_reference عند الإصدار حتى لا تُنشئ إعادة المحاولة فواتير مكررة.
• عامل public_url كرابط مشاركة: من يملكه يستطيع فتح تلك الفاتورة.

الإبلاغ عن ثغرة

راسلنا عبر رابط التواصل في نهاية هذه الصفحة بالتفاصيل وخطوات إعادة المشكلة. نرجو ألا تصل إلى بيانات منشآت أخرى أو تؤثر على الخدمة أثناء الاختبار.