كيف نحفظ
بيانات اعتمادك.
كلمة مرور حساب مميز هي أخطر شيء يمكنك تسليمه لمورّد. هذا ما نفعله بها — وما نرفض فعله.
بيانات اعتمادك لا تُخزّن أبدًا بشكل قابل للقراءة، ولا تشارك مفتاحًا مع عميل آخر، ولا تُسلّم أبدًا لأي شخص لم يُثبت للتو هويته.
رحلة كلمة مرور واحدة
أوضح طريقة لشرح خزنة هي تتبع بيانات اعتماد واحدة عبرها، من لحظة كتابتها إلى لحظة قراءتها مرة أخرى.
مفتاحها الخاص، ومفتاح جذر لا يمكننا استخراجه
كل بيانات اعتماد مُختومة بمفتاح تشفير خاص بها — ليس مفتاحًا واحدًا لكل عميل، وليس مفتاحًا واحدًا للمنصّة. هذا المفتاح نفسه مُختوم بمفتاح جذر محفوظ في وحدة أمان أجهزة، لا يمكن تصديره أو نسخه أو قراءته من قبلنا. يمكن فقط طلب تنفيذ عملية منه، وكل طلب يُسجّل بواسطة المنصّة التي تحتفظ به. نسخة مسروقة من قاعدة البيانات خاملة: لا كلمات مرور، ولا مفتاح يفتح واحدة.
نصك المشفّر مرتبط بك، رياضيًا
كل بيانات اعتماد مختومة مرتبطة تشفيريًا بالمؤسسة التي تنتمي إليها. هذا ليس مرشحًا في استعلام يمكن لخطأ أن يتجاهله — الربط جزء من التشفير نفسه. بيانات اعتماد تخص عميلًا واحدًا، مُقدّمة تحت هوية عميل آخر، لن تُفكّ تشفيرها. فحوصات إصدارنا تتضمن محاولة فتح بيانات مؤسسة كمؤسسة أخرى، ويُطلب فشل تلك المحاولة.
الوصول يُمنح لكل حساب، وليس لكل مستأجر
العضوية في مؤسستك لا تمنح وصولاً إلى بيانات اعتمادها. الصلاحية تُعيّن لكل حساب مميز — هذا الشخص قد يُدوّر ذاك، هذا الشخص قد يقرأ هذا. نفس الفصل ينطبق على الإدارة: إدارة الوحدة وقراءة الأسرار بداخلها صلاحيتان مختلفتان، لذا لا يمكن لمسؤول أن يمنح نفسه كلمة مرور بهدوء.
عامل ثانٍ، في لحظة الطلب
الكشف عن بيانات اعتماد يتطلب إثبات هوية في تلك اللحظة — وليس إثباتًا من وقت بدء جلسة المتصفح. جلسة مسروقة هي الطريقة الواقعية لإفراغ خزنة، والجلسة وحدها لا تكفي هنا. المحاولات الخاطئة المتكررة توقف العملية بدلاً من إبطائها، والحظر محصور في الوصول إلى بيانات الاعتماد لذا لا يُقفل أحد أبدًا من المنتج الأوسع.
منحة لمرة واحدة بعمر قصير
الطلب لا يُرجع كلمة مرور. يُرجع تفويضًا لمرة واحدة قصير العمر، قابل للاستخدام مرة واحدة بالضبط، ومحدد النطاق لبيانات اعتماد واحدة. الإذن يُفحص مرة أخرى عند استرداده، وليس فقط عند إصداره، لذا الوصول المُلغى في الفترة الفاصلة يسري فورًا — وبيانات الاعتماد لا تُكتب أبدًا في ذاكرات التخزين المؤقت أو تُحفظ بواسطة التطبيق الذي يعرضها.
كل كشف له اسم مقابله
كل وصول يُسجّل مع من، وأي بيانات اعتماد، ومتى، وبأي طريق — والسبب الذي قدّموه، مُلتقط قبل إصدار بيانات الاعتماد بدلاً من إعادة بنائه لاحقًا. كلمات المرور المُستبدلة تُحفظ تحت نفس التشفير ككلمات المرور الحالية، لذا التحقيق لا يقتصر على الحاضر.
ما نرفض فعله
بعض قرارات التصميم يُفضّل وصفها بما تستبعده. كل من هذه كانت متاحة، وأسهل، ومُرفوضة.
تخزين أي شيء قابل للعكس
لا تُحفظ أي بيانات اعتماد بنص واضح في أي طبقة أو أي نقطة — لا في ذاكرة تخزين مؤقت، ولا في طابور، ولا في سطر سجل أثناء انتظار المعالجة.
مشاركة مفتاح بين العملاء
لا يوجد سر مشترك يمكن أن يصل اختراقه إلى بيانات أكثر من مؤسسة واحدة، ولا افتراضي بيئة يمكن أن يصبح واحدًا بهدوء.
إرجاع سر أرسلته لنا
بيانات اعتماد التكامل التي تُهيّئها للكتابة فقط. الواجهة تُبلغ عما إذا كان أحدها موجودًا؛ لن تقرأ واحدًا مرة أخرى، لك أو لأي شخص.
السماح للمتصل بتوسيع حدوده الخاصة
افتراضيات الأمان يحددها الخادم. العميل قد يطلب قيدًا أكثر صرامة؛ لا يمكنه أبدًا طلب قيد أكثر مرونة.
استنتاج شيء بهذه الأهمية
كيفية حماية بيانات الاعتماد مُعلنة صراحة لكل بيئة. غياب التهيئة يوقف بدء الخدمة — لا يُحلّ أبدًا إلى افتراضي أضعف.
قبول طلب غير مُفسّر
الكشف يحمل سببًا مُعلنًا قبل منحه. مسار تدقيق بعمود سبب فارغ يُجيب على السؤال الخطأ.
لماذا لا توجد أرقام في هذه الصفحة
ستلاحظ أننا نصف كيفية تصرف الضوابط دون نشر القيم وراءها — لا مهلات، ولا عتبات، ولا معرّفات مفاتيح، ولا أسماء داخلية.
هذا متعمد. تلك التفاصيل لا تفعل شيئًا لتقييمك وكثيرًا لشخص يبني ضدنا: نافذة انتهاء دقيقة هي نافذة للسباق، وعتبة قفل منشورة هي ميزانية للبقاء تحتها. نشرها سيكون مكسبًا تسويقيًا صغيرًا مدفوعًا من أمنك.
فريق الأمن لديك يمكنه الحصول على كل ذلك. أوصاف الضوابط، تصميم إدارة المفاتيح، أدلة اختبارنا ونتائج التقييم المستقل تُشارك بالكامل تحت اتفاقية عدم إفشاء، وسنُرشد مراجعيك عبر المعمارية مباشرة.