الأمانSECURITY
لا نَعِدُك بالأمان. نُهاجم أنفسنا أمامك.
كل صفحة أمان قرأتَها في حياتك قائمةُ وعود. هذه الصفحة تُنفّذ خمس هجمات حقيقية على نفسها في متصفّحك الآن، وتُريك المتصفّح يرفضها واحدة واحدة. لو ضعُفت سياستنا يوماً، هذه الصفحة هي أوّل من سيقول لك.
برهان حيّLIVE PROOF
خمس هجمات، تُنفَّذ الآن
ليست محاكاة: كل فحص هو الفعل العدائي نفسه، وكل حكم مقروء من حدث المتصفّح أو من الاستثناء الذي رمته المنصّة.
اضغط لتشغيل الهجمات — أو مرّر إلى هنا وتبدأ وحدها.
الوضعPOSTURE
ما الذي يمنع ذلك فعلاً
هذه ليست إعدادات كُتبت مرّة ونُسيت — البناء يولّدها من الشيفرة التي تُشحن، فلا يمكن أن تتقادم عن الصفحة.
بصمة لكل سكربت داخليلا unsafe-inline في script-src. البناء يحسب بصمة SHA-256 لكل سكربت داخلي ويضعها في السياسة؛ تغيير حرف واحد يغيّر البصمة معه.
ولا في الأنماط أيضاًكانت في الموقع نحو 950 خاصّية style مضمَّنة، بـ74 قيمة متمايزة فقط. صارت أصنافاً يولّدها البناء، فسقطت unsafe-inline من style-src كذلك.
Trusted Types مفروضةأُزيلت تسعة مواضع كانت تبني HTML من نصوص، وأخطرها واحد يمرّر ما تكتبه أنت. الآن سياسة واحدة مسمّاة لا تُنتج إلا عنوان عامل الخدمة، وترمي خطأً على أي شيء آخر.
لا شيء من خارج نطاقنالا خطوط ولا نصوص ولا صور من خادم غريب. لا تتبّع، ولا كوكيز، ولا تحليلات. ما لا يُحمَّل لا يمكن أن يُخترَق.
أرقامنا موقّعةكل رقم عامّ موقّع بمفتاح Ed25519 عند البناء، ومتصفّحك من يتحقّق منه لا خادمنا.
نموذج التواصل لا يرسل شيئاًلا يمرّ ما تكتبه بخادمنا أصلاً — يفتح واتساب أو بريدك على جهازك أنت.
السياسةTHE POLICY
السياسة الفعلية التي يُرسلها خادمنا
ليست مثالاً توضيحياً — هذه هي الترويسة نفسها، يولّدها البناء من الشيفرة التي تُشحن.
- default-src'self'
- script-src'self' 'sha256-WdDJbdhgd2aGIBSxWgROYpfUiSkQnu8zmjTf1J991Hg=' 'sha256-ZriVhTnq4wXlPojnCD2FutefCZLnRiHrDymHXGI2euA=' 'sha256-ut8FCfD/iBAMUY8iebvxN0PzWbOrNiN2o3NDD53XFQY='
- style-src'self' 'sha256-KR4gUwZTOejHuo8xbgVympE27JrzLkGZLeE45cOmXJE='
- img-src'self' data:
- font-src'self'
- connect-src'self'
- form-action'self' https://wa.me
- frame-ancestors'none'
- base-uri'none'
- object-src'none'
- require-trusted-types-for'script'
- trusted-typesawalim-sw awalim-ledger
- upgrade-insecure-requests
بصراحةHONESTLY
ما الذي لا تفعله هذه السياسة
- لا تحمي من خطأ في محتوىً نكتبه نحن ونثق به. تمنع الحقن، لا سوء التقدير.
- لا تحمي جهازك إن كان مخترَقاً أصلاً — إضافة متصفّح خبيثة تسبق كل سياسة.
- الموقع ثابت ولا يملك قاعدة بيانات ولا حسابات، فلا يوجد ما يُسرَق منه. هذا ليس فضلاً منّا؛ إنه شكل الموقع.
- هذه الصفحة تُثبت السياسة التي وصلتك بها أنت، لا أكثر. لو أرسل خادمنا يوماً ترويسة تخالف ما نعلنه، ستظل الفحوص الخمسة خضراء عندك. البناء يتحقّق من الجانب الآخر — أن المُعلَن يطابق ما يُشحن — والصفحتان معاً تُغطّيان الطرفين.
- Trusted Types هي التي ترفض فعلاً فحصَي eval وinnerHTML — قِسناها: إضافة unsafe-eval إلى السياسة لا تُعيد تشغيلهما، لأن المنصّة ترفض المصبّ قبل أن تُستشار سياسة المحتوى.
إبلاغ
وجدتَ ثغرة؟
أخبرنا مباشرةً وسنردّ خلال يوم عمل واحد. لا نملك برنامج مكافآت بعد، ولن ندّعي أننا نملكه — لكننا نُنسب الفضل لمن يبلّغ، إن أحبّ.
- نعود إليك خلال يومَي عمل
- الكود ملك لك بالكامل
- أرقام منشورة موقّعة وقابلة للتحقّق