الأمن والحوكمة

بياناتك.
معزولة.

البيانات الماليّة تستحقّ وضعاً أمنيّاً ليس مجرّد قائمة امتثال. ختم Airtight البنية أوّلاً، ثم علّق الشهادات جانباً. إليك ما في الصندوق فعلاً.

التشفير

أربع طبقات. مفاتيح لكلّ منشأة. بلا أسرار مشتركة.

طبقة 1 · CMK
مفتاح العميل الرئيسي

AWS KMS. لا يغادر وحدة الأمن الصلبة.

طبقة 2 · KEK
مفتاح تشفير المفاتيح

لكلّ عميل. يغلّف DEK. يُنشَأ عند إنشاء المستأجر، لا يُسجَّل.

طبقة 3 · DEK
مفتاح تشفير البيانات

لكلّ عميل ولكلّ بيئة. يُشفِّر البيانات الحسّاسة في السكون.

طبقة 4 · FLD
ختم الحقول

أرقام الملف الضريبي للموظفين وتفاصيلهم البنكية وبيانات اعتماد بوّابات الدفع تُختم قبل تخزينها.

ما هو مختوم اليوم. أرقام الملف الضريبي للموظفين وتفاصيلهم البنكية وبيانات اعتماد بوّابات الدفع تستخدم هذا التسلسل. أمّا بقية البيانات فتحميها أمن مستوى الصفّ والتشفير في السكون.

البنية

ستّة أركان، كلّها حاملة.

إيصالات تشفيريّة ثلاثيّة القيد

كلّ قيد يومية يُرحَّل إلى السجلّ يحصل على إيصال موقَّع بـ Ed25519 ومربوط بالإيصال السابق عبر SHA-256. أيّ تغيير لاحق في إيصال يكسر السلسلة ويُكتشف عند التحقّق. هي سلسلة تجزئة خطّية وليست شجرة Merkle، ويتمّ التحقّق داخل Airtight.

Ed25519 · سلسلة تجزئة SHA-256

تشفير بمفاتيح لكلّ عميل

تسلسل مفاتيح من أربع طبقات يحمي أرقام الملف الضريبي للموظفين وتفاصيلهم البنكية وبيانات اعتماد بوّابات الدفع. مفاتيح مؤسّستك لا تُشارَك مع أيّ مستأجر آخر.

CMK → KEK → DEK → حقل

أمن على مستوى الصفّ، في كلّ مكان

PostgreSQL RLS على كلّ جدول مستأجر. تُرفض الاستعلامات العابرة في قاعدة البيانات نفسها — ليست مجرّد اتّفاق في الشيفرة. وبوّابة CI تفحص القراءات التي تتجاوزه.

FORCE RLS · جداول المستأجرين

Passkeys، لا كلمات مرور

WebAuthn Passkeys أوّلاً. TOTP احتياطاً. لا SMS — SMS ليس أمناً. تُدوَّر رموز الجلسات عند الاستخدام؛ وإعادة استخدام رمز قديم تُلغي جلسات المستخدم.

WebAuthn · TOTP · بلا SMS

سجلّ تدقيق يُضاف إليه فقط

يُسجَّل الترحيل والإبطال والعكس وإلغاء الترحيل والحذف وإقفال الفترات وتغييرات الحسابات والأحداث الأمنيّة في سجلّ يُضاف إليه فقط. لا تسجّل كلّ وحدة كلّ إجراء بعد.

إضافة فقط · أحداث السجلّ والأمان

مفاتيح API بنطاقات

حدِّد صلاحيات المفتاح. دوِّره بلا توقّف. ألغِ أيّ مفتاح في أيّ وقت — يبقى الباقي يعمل.

بنطاق · قابل للتدوير · قابل للإلغاء
المعايير والشهادات

الأوراق. الحالة الراهنة.

مستهدف
SOC 2 Type II

قيد التنفيذ · التقرير المستهدف الربع الرابع ٢٠٢٦.

مستهدف
ISO 27001

قيد التنفيذ · المستهدف الربع الأوّل ٢٠٢٧.

نشط
قانون الخصوصيّة الأسترالي

تستضيف Airtight بياناتك في AWS سيدني، أستراليا. راجع سياسة الخصوصيّة لمعرفة المعالجين والإفصاح عبر الحدود.

الممارسة الهندسيّة

الأمن سطر في كلّ ملفّ، لا مرحلة.

ما نُفرضه على كلّ طلب دمج، قبل الدمج.

فحص تحذيرات التبعيّات في Rust (cargo-audit) على كلّ PR · أيّ تحذير معروف يُفشل بوّابة الدمج
فحص تجاوز أمن مستوى الصفّ على كلّ PR
حدّ المعدّل على طلبات API · بحسب عنوان العميل
CORS محدود بالأصول المعروفة · بلا wildcards
المال يُخزَّن بوحدات صحيحة صغرى · لا فاصلة عائمة
كلّ مسار يُغيّر البيانات يحتاج صلاحيّة صريحة · المسارات غير المُعيَّنة تُرفض

تريد استجواب البنية؟

فريق أمننا سيعرض لمسؤول أمن معلوماتك شجرة المفاتيح، التحقّق من الإيصالات، إثباتات RLS، وكتاب اللّعب. اتفاقيّات عدم إفصاح عند الطلب.

احجز جولة أمنيّة اطّلع على الميزات ←