اختیار را محدود، صریح و قابل مشاهده نگه دارید.

سایت یک استقرار موجود در Vercel دارد. هویت حساب مالک بررسی شده؛ دسترسی پروژه نهایی، منشأ دقیق نسخه و پذیرش بازگشت هنوز روشن نیست. این مدرک کنترل‌های میزبانی برنامه نیست.

مدرک پشتیبان‌گیری و بازیابی برنامه متعلق به مسئول انتشار برنامه است. اینجا وعده‌ای درباره تناوب پشتیبان‌گیری، زمان یا نقطه بازیابی داده نمی‌شود. انتشار چنین تعهدی به سابقه تأییدشده بازیابی و نگهداری نیاز دارد.

داده فضای کاری باید در مرز مجاز بماند. این سایت سیاست پایگاه داده برنامه، جداسازی مشتریان یا آزمون دسترسی بین فضاها را تأیید نمی‌کند. مدرک پذیرفته‌شده برنامه لازم است؛ واسط تماس سایت پایگاه داده برنامه نیست.

ورود برنامه، پردازش گذرواژه، پایان نشست و بازیابی حساب به تنظیم و آزمون پذیرفته‌شده نیاز دارند. سایت عمومی گذرواژه برنامه را پردازش نمی‌کند و ارائه‌دهنده احراز هویت آن را تأیید نمی‌کند؛ پیوند ورود برنامه هنوز محدود به پذیرش انتشار است.

اقدام حساس برنامه باید برای کاربر، نقش و فضای کاری درست در سرور مجاز شود. نمایش دکمه به معنی مجوز نیست. این سایت اجرای همه مرزهای اختیار در برنامه پذیرفته‌شده را ثابت نمی‌کند.

دسترسی با حداقل اختیار، تأیید، لغو دسترسی و سوابق مدیران نیازمند بررسی‌اند. بدون مدرک جاری ادعا نمی‌کنیم کارکنان هرگز به داده مشتری دسترسی ندارند یا همه اقدامات مدیریتی ثبت و بررسی می‌شوند.

تنظیم عملیاتی، خدمات دارای اختیار و جداسازی محیط‌ها باید در استقرار تحت کنترل مالک بررسی شوند. آزمون محلی سخت‌سازی سیستم‌عامل، حفاظت مستمر یا امنیت همه خدمات زیربنایی را ثابت نمی‌کند.

زیرساخت فیزیکی را ارائه‌دهندگان میزبانی اداره می‌کنند. Rellooma ادعای مالکیت مرکز داده ندارد. کنترل ارائه‌دهنده باید برای خدمت واقعاً مورد قرارداد بررسی شود؛ گواهی ارائه‌دهنده، گواهی برنامه Rellooma نیست.

پرداخت پولی و Paddle Live در تنظیم انتشار غیرفعال‌اند. هویت پردازشگر، جریان داده کارت و قرارداد فروشنده رسمی باید پیش از فعال‌سازی تأیید شوند. اینجا تضمینی درباره پردازش فعال کارت یا بازپرداخت داده نمی‌شود.

امنیت انتقال در میزبانی، رمزنگاری ذخیره‌سازی، مدیریت کلید و محل انتقال به مدرک همان محیط نیاز دارند. ساخت محلی سایت، تضمین رمزنگاری همگانی، سرتاسری یا محل نگهداری داده نیست.

کد سایت سیاست محتوای مبتنی بر nonce و سربرگ‌های امنیتی پاسخ را تنظیم می‌کند. سربرگ میزبانی‌شده، سازگاری مرورگر و حفاظت لبه ارائه‌دهنده هنوز نیازمند بررسی انتشارند. این کنترل‌ها تضمین مقابله با حمله شبکه نیستند.

تله‌متری محافظ پیام و دسترسی به گزارش برنامه به مدرک پذیرفته‌شده نیاز دارند. اجرای سایت، تحویل تماس و مسیر هشدار هم باید در میزبانی بررسی شوند. ادعای پایش شبانه‌روزی یا زمان پاسخ آزموده‌شده نداریم.

مسئولیت رخداد، ارجاع، گزارش امن و ارتباط با مشتری باید تأیید و تمرین شوند. صفحه گزارش آسیب‌پذیری پیش‌نویس است، نه صندوق تأییدشده، تعهد زمان پاسخ یا مجوز آزمودن سیستم مشتری.

بازگشت نسخه، مسئولان بازیابی و برنامه وابستگی خدمات به پذیرش مالک نیاز دارند. بدون سطح خدمت توافق‌شده و مدرک عملیاتی جاری، تضمین زمان فعالیت یا تداوم منتشر نمی‌شود.

سایت بررسی خودکار قالب، lint، نوع، ساخت، مسیر، اسرار و مرورگر دارد. نتیجه به نسخه کد آزموده‌شده محدود است، نه همه خدمات برنامه یا ارزیابی مستقل امنیت.

پرچم‌های انتشار سایت دسترسی برنامه، پرداخت پولی، پیام زنده، دستیار عمومی و تحویل تماس را تا پذیرش مدرک غیرفعال نگه می‌دارند. پرچم، نمایش سایت را کنترل می‌کند؛ ارائه‌دهنده برنامه را فعال یا تأیید نمی‌کند.

سایت در بررسی‌ها از فایل قفل و ممیزی وابستگی عملیاتی استفاده می‌کند. آخرین اصلاح ثبت‌شده وابستگی پردازش تصویر وصله‌شده را تثبیت می‌کند. ممیزی پاک نتیجه همان زمان است، نه اثبات نبود هر آسیب‌پذیری.

اسکن خودکار سایت کد و بسته مرورگر را برای اسرار بررسی می‌کند. اعتبارنامه تماس تنظیم سرور است، نه محتوای عمومی. اسکن جای بررسی دسترسی ارائه‌دهنده، تعویض کلید یا بازبینی انسانی خروجی انتشار را نمی‌گیرد.

بررسی سایت برخی ریسک‌ها مانند اعتبارسنجی ورودی، درخواست تماس هم‌مبدأ، بدنه محدود و سیاست پاسخ را پوشش می‌دهد. این ادعای انطباق کامل OWASP یا آزمون نفوذ مستقل پذیرفته‌شده نیست.

واسط تماس غیرفعال سایت امضای خروجی HMAC دارد. بررسی امضا در گیرنده، مدیریت بازپخش و حذف تکرار پایدار باید پیش از فعال‌سازی تحویل تأیید شوند. امضای کد به‌تنهایی پذیرش گیرنده را ثابت نمی‌کند.

خواندن تماس محدودیت اندازه و مهلت دارد. محدودیت حافظه‌ای دفاع عملیاتی توزیع‌شده نیست. محدودیت پایدار یا لبه ارائه‌دهنده، بررسی چالش و جلوگیری از تکرار در گیرنده هنوز شرط فعال‌سازی‌اند؛ تحویل تماس غیرفعال است.

دستیار عمومی سایت غیرفعال است. کمک عمومی آینده به دانش عمومی، هزینه محدود و کنترل سوءاستفاده نیاز دارد. ابزار برنامه باید اختیار سرور و مجوز مشتری را رعایت کند؛ آزمون سایت اجرای آن را تأیید نمی‌کند.

اقدام پرخطر باید در موارد لازم به تأیید انسان وابسته بماند. تحویل گفت‌وگو، توقف و ادامه آگاهانه الزامات طراحی برنامه‌اند؛ دسترس‌پذیری آن‌ها باید در نسخه پذیرفته‌شده برنامه بررسی شود.

بررسی کد سایت و آزمون محلی مرورگر از پذیرش نسخه میزبانی‌شده جداست. مرکز آزمون برنامه و نتایج محیط آزمایشی ارائه‌دهنده به مدرک پذیرفته‌شده خود نیاز دارند؛ ساخت موفق سایت مجوز فعال‌سازی کانال زنده نیست.

پیش از تهیه گزارش، صفحه افشا را بخوانید. تحویل ایمیل، پردازش امن مدرک و تأیید بررسی اولیه هنوز در انتظارند. فضای خصوصی را آزمایش نکنید، خدمت را مختل نکنید و داده مشتری نفرستید؛ پاداش یا مجوز آزمون ارائه نمی‌شود.

تغییر امنیتی سایت با commit، آزمون و مدرک CI ثبت می‌شود. انتشار اصلاح به استقرار تأییدشده مالک و بررسی میزبانی نیاز دارد. این تعهد ثابت زمان وصله، ممیزی مستقل یا گواهی ایجاد نمی‌کند.