این سایت چطور محافظت می‌شود، و چطور به من بگویید که نمی‌شود

همه‌چیز روی HTTPS سرو می‌شود. پایگاه داده، Postgres مدیریت‌شده با رمزنگاری در حال سکون است. آنچه می‌فرستید نه از شبکهٔ عمومی به‌صورت متن ساده عبور می‌کند و نه به آن شکل روی دیسک می‌نشیند.

روی هر جدول، امنیت در سطح ردیف فعال و اجباری است. «اجباری» همان بخشی است که معمولاً جا می‌ماند: بدون آن، مالک جدول از سیاست‌های خودش عبور می‌کند، پس هر چیزی که با آن نقش اجرا شود همه‌چیز را می‌خواند در حالی که سیاست هنوز درست به نظر می‌رسد.

کلید عمومی‌ای که مرورگر شما دارد فقط می‌تواند محتوای منتشرشده را بخواند و بس. نه می‌تواند پیامی را بخواند، نه بنویسد، و نه پیش‌نویس منتشرنشده‌ای را ببیند. ارسال فرم‌ها هرگز مستقیم از مرورگر به پایگاه داده نمی‌رود؛ از یک Server Action عبور می‌کند که اول محدودیت نرخ، اعتبارسنجی و بررسی را انجام می‌دهد، با کلیدی که هرگز از سرور بیرون نمی‌رود. همین ترتیب است که اعتبارسنجی را واقعی می‌کند، نه توصیه‌ای.

اعتبارنامه‌های سرویس‌های بیرونی با AES-256-GCM رمزنگاری و ذخیره می‌شوند — احراز‌شده، به این معنا که یک رکورد دست‌کاری‌شده به‌جای رمزگشایی به بایت‌های دیگر، اصلاً رمزگشایی نمی‌شود. کلید رمزنگاری در محیط استقرار است، نه در پایگاه داده و کنار همان چیزی که باید از آن محافظت کند.

هیچ اعتبارنامه‌ای هرگز دوباره نمایش داده نمی‌شود — نه ماسک‌شده، نه پشت یک دکمهٔ «نمایش»، نه چهار کاراکتر آخرش. انباری که رازتان را نشانتان بدهد، همان را به هرکسی که نشست شما را قرض بگیرد هم نشان می‌دهد. پرسش واقعی همیشه این است که آیا آن اعتبارنامه هنوز کار می‌کند، و راه پاسخ‌دادن به آن استفاده از آن است — کاری که بخش مدیریت با فرستادن یک اعلان آزمایشیِ واقعی انجام می‌دهد.

ثبت‌نام عمومی وجود ندارد و هیچ راهی برای ساختن حساب از داخل بخش مدیریت نیست. حساب‌ها مستقیماً روی پایگاه داده و از ماشینی ساخته می‌شوند که از پیش اعتبارنامه‌های استقرار را دارد. ورودِ معتبرِ کسی که مدیر نیست، بی‌درنگ خارج می‌شود، نه اینکه با یک نشست باقی بماند.

نشست‌ها در هر درخواست به‌جای اعتماد به کوکی، از سرور احراز هویت پرسیده می‌شوند، و هر صفحه و هر کنش، مجوز را خودش دوباره بررسی می‌کند به‌جای تکیه بر همان یک بررسی در لایهٔ بالاتر. Postgres هم همان قاعده را در پایین اعمال می‌کند، پس یک اشتباه در یکی از این بررسی‌ها راهی برای عبور از دیگری نیست.

در وضعیت امروز، پرداختی نمی‌گیرد و اطلاعات کارت ذخیره نمی‌کند، حساب کاربری برای بازدیدکننده ندارد، و هیچ اسکریپت شخص‌ثالثی بارگذاری نمی‌کند. اگر چیزی که خود را این سایت معرفی می‌کند از شما رمز یا شمارهٔ کارت خواست، آن این سایت نیست.

به Mahdii.Support@gmail.com ایمیل بزنید، با جزئیات کافی برای بازتولید مسئله. ظرف سه روز کاری دریافتش را تأیید می‌کنم و می‌گویم چه یافتم، چه قابل بهره‌برداری از آب دربیاید و چه نه.

دو خواهش در حین بررسی: با دادهٔ واقعی آدم‌های دیگر آزمایش نکنید، و اسکن خودکاری که سایت را برای بقیه کند کند اجرا نکنید. پیش از انتشار، فرصت معقولی برای رفع آن به من بدهید.

برنامهٔ پاداش اشکال وجود ندارد — اینجا سایت یک نفر است، نه یک برنامه — اما اگر یافته واقعی باشد و اعتبارش را بخواهید، با نام خودتان به شما داده می‌شود.