v2.6.0
امنیت و احراز هویت
محتوا و صفحات
مستندات و زیرساخت
آبان ۱۴۰۵ / نوامبر ۲۰۲۶
انتشار تفصیلی: بازسازی جریان ورود، تکمیل اسناد حقوقی، راه‌اندازی مرکز دانش و بازطراحی صفحات کلیدی
این نسخه، بزرگ‌ترین دور یکپارچه‌سازی محصول تا امروز است: رفع یک نقص ریشه‌ای در هدایت پس از ورود، سخت‌سازی چندلایه احراز هویت، بازنویسی کامل اسناد حقوقی، ساخت بانک پرسش‌های متداول به‌صورت داده‌محور، و بازطراحی صفحات محصول، تماس، پشتیبانی، مستندات و فناوری. در ادامه، هر حوزه به‌تفصیل توضیح داده شده است.
۱. احراز هویت و امنیت
- ریشه‌یابی و رفع نقص هدایت پس از ورود: سیاست
form-actionدر هدر CSP، ریدایرکت پاسخ فرم را ازauth.croplod.comبهaccount.croplod.comلغو می‌کرد؛ مرورگر درخواستی به مقصد نمی‌فرستاد و کاربر روی صفحهٔ ورود می‌ماند. فهرست مبدأهای مجاز فرم به تمام دامنه‌های اکوسیستم گسترش یافت.- همین ریشه، مرحلهٔ نهایی ثبت‌نام (تأیید کد و هدایت به داشبورد) را نیز مسدود می‌کرد.
- شاهد در لاگ: پاسخ ۳۰۳ صحیح از سرور، بدون هیچ درخواست پس از آن به مقصد.
- کد پاسخ ۳۰۳ به‌جای ۳۰۲ برای POST: با
See Otherمرورگر مقصد را با GET باز می‌کند؛ بنابراین رفرش صفحه، فرم را دوباره ارسال نمی‌کند و خطای «توکن CSRF نامعتبر» پس از رفرش رخ نمی‌دهد. - هدر
Cache-Control: no-storeروی صفحات احراز هویت: جلوگیری از بازگرداندن فرم ورود از حافظهٔ Back/Forward مرورگر با توکن منقضی. - جلوگیری از ارسال دوبارهٔ فرم: دکمهٔ ارسال پس از اولین کلیک غیرفعال می‌شود تا کلیک دوم ناوبری اول را لغو نکند یا با توکن کهنه پاسخ ۴۰۳ نگیرد.
- بازیابی هوشمند از خطای CSRF: به‌جای صفحهٔ بن‌بست ۴۰۳، کاربر واردشده مستقیم به مقصد و کاربر واردنشده به فرم با توکن تازه هدایت می‌شود.
- گارد وضعیت در ورود دومرحله‌ای: ارسال دوبارهٔ فرم ۲FA یا بازگشت با دکمهٔ مرورگر، دوباره کد نمی‌خواهد و مستقیم به مقصد می‌رود.
- اصلاح سقف نرخ مسیرهای ورود: محدودیت ۱۰ درخواست در دقیقه باعث خطای ۴۲۹ برای کاربران شبکه‌های مشترک می‌شد؛ سقف به ۱۲۰ درخواست در دقیقه با گشودگی ۳۰ افزایش یافت و بارگذاری صفحه از محدودیت سخت خارج شد.
- حذف میزبان بدون رکورد DNS: بلوک
admin.plus.croplod.comاز پیکربندی nginx، فهرستALLOWED_HOSTS،CSRF_TRUSTED_ORIGINSو فهرست میزبان‌های بازگشت مجاز حذف شد. - پنهان‌سازی دکمهٔ ورود گوگل در صورت نبود کلید: با خالی بودن
GOOGLE_CLIENT_ID، دکمه به صفحهٔ خطای گوگل می‌رفت؛ حالا تنها با پیکربندی معتبر نمایش داده می‌شود. - پیام‌های دقیق برای حساب‌های غیرقابل‌ورود: حساب بدون رمز عبور و حساب غیرفعال، پیام راهنمای مشخص می‌گیرند، نه «رمز اشتباه است».
۲. اسناد حقوقی
- سیاست حریم خصوصی — ۲۲ بخش: تعاریف رسمی، هفت اصل پردازش، هشت دستهٔ داده با کاربرد هرکدام، نقشهٔ دامنه‌ها و نشست مشترک، جدول کوکی‌ها، نه هدف پردازش، اشتراک‌گذاری و دریافت‌کنندگان، محل نگهداری، مدت نگهداشت، هفت حق کاربر، پروفایل عمومی، اعلان‌ها، تصمیم خودکار، کیف پول، نژوا، اشخاص ثالث، کودکان، تغییرات و تماس.
- شرایط استفاده — ۲۲ بخش: پذیرش، تعاریف، اهلیت، مسئولیت حساب، ۲FA، رفتارهای ممنوع، محتوای کاربر و مجوز انتشار، مالکیت فکری، کیف پول و بازگشت وجه، اشتراک ویژه، پلاس، تبلیغات، نکسوس، محصولات مستقل، دسترس‌پذیری، پشتیبانی، محدودیت مسئولیت، جبران خسارت، تعلیق و فسخ، قانون حاکم، تغییرات و مقررات عمومی.
- امنیت و شفافیت — ۱۷ بخش: رویکرد، پنج لایهٔ دفاعی، احراز هویت و چرخش نشست، ۲FA و TOTP، رمزنگاری در انتقال و ذخیره، امنیت شبکه، جداسازی دامنه‌ها، کنترل دسترسی نقش‌محور، امنیت پرداخت، پایش و پاسخ به رخداد، پشتیبان‌گیری، سیاست شفافیت، توصیه‌های کاربر، گزارش آسیب‌پذیری، بازیابی حساب قفل‌شده و مرزهای تعهد.
۳. صفحهٔ محصولات و صفحات محصول
- صفحهٔ محصولات: افزودن بخش‌های فلسفهٔ محصول، چرایی اکوسیستم، جزئیات هر محصول از دادهٔ واقعی، استقلال و هم‌افزایی، فرایند هفت‌مرحله‌ای ساخت و هشت معیار پذیرش.
- سه صفحهٔ جزئیات محصول: «در یک نگاه»، مشخصات کامل، معماری و نحوهٔ کارکرد، قابلیت‌ها، بخش اختصاصی هر محصول (نژوا، پلاس، نکسوس)، شش اصل طراحی، امنیت و حریم خصوصی، افق توسعه، چهار پرسش متداول و منابع حقوقی.
۴. مرکز دانش
- بانک پرسش‌های متداول: از حدود ۳۰ پرسش ثابت به بیش از ۵۵۰ پرسش در ۲۸ دستهٔ موضوعی، در قالب دادهٔ مستقل از قالب.
- جست‌وجوی زنده روی پرسش و پاسخ با هایلایت و شمارندهٔ نتیجه.
- فیلتر دسته با سایدبار چسبیده در دسکتاپ و چیپ‌های افقی در موبایل.
- بازکردن و بستن گروهی، میان‌بر
/وEsc، دکمهٔ بازگشت به بالا. - لینک‌پذیری دسته‌ها و جست‌وجو، و اسکیمای
FAQPageبرای موتورهای جست‌وجو. - لایهٔ رنگ وابسته به تم؛ اصلاح کنتراست کادر جست‌وجو و حالت انتخاب‌شده در تم روشن.
- پرتال مستندات: از ۹ به ۱۵ مستند در ۶ دسته، با جست‌وجوی درون‌صفحه‌ای، تاریخ بازنگری هر مستند و سه مسیر پیشنهادی مطالعه.
- صفحهٔ پشتیبانی: نُه بخش شامل مسیرهای خودیاری، هفت سناریوی عیب‌یابی گام‌به‌گام، چک‌لیست پیش از ارسال، جدول زمان پاسخ و مرزهای پشتیبانی.
- صفحهٔ تماس: شش کانال ارتباطی، فرم با راهنمای پاسخ‌دهی، جدول «به چه کسی بنویسیم» و پنج پرسش متداول.
۵. صفحات فناوری
- معماری و فناوری: پشتهٔ کامل، چهار رکن معماری، نقشهٔ دامنه‌ها، مرزهای اعتماد، چهار لایهٔ زیرساخت و دلیل فنی هر انتخاب.
- هوش مصنوعی: چهار اصل حاکم، مشخصات موتور ترجمهٔ خودمیزبان، کاربردهای دیگر، سیاست داده و محدودیت‌های صادقانه.
- طراحی محصول: شش اصل، فرایند شش‌گامی، سیستم طراحی، دسترس‌پذیری و معیارهای پذیرش.
- توسعه‌دهندگان: احراز هویت، محدودیت نرخ، جدول کدهای پاسخ، نمونهٔ درخواست، وب‌هوک، محیط آزمایشی و قواعد استفاده.
۶. ساختار و سئو
- افزودن اسکیمای
FAQPage،TechArticleوBreadcrumbListبه صفحات تازه. - یکدست‌سازی عنوان و توضیح متای صفحات محتوایی.
- حفظ مسیرهای قدیمی با هدایت ۳۰۱ و بدون شکستن لینک‌های موجود.
۷. کیفیت و فرایند
- هر تغییر پس از استقرار با درخواست واقعی به صفحه آزمون شد؛ صفحه‌های ۴۰۴/۵۰۰ و خروجی قالب خام بررسی شدند.
- هر فایل پیش از تغییر نسخهٔ پشتیبان گرفت؛ بازگردانی هر مورد مستقل و قابل انجام است.
- بررسی تکرار در بانک پرسش‌ها و یکتاسازی عنوان‌های هم‌نام.
- پاک‌سازی داده‌های آزمایشی از پایگاه داده پس از هر آزمون.
| پرسش‌های متداول | بیش از ۵۵۰ پرسش در ۲۸ دسته |
| اسناد حقوقی | ۳ سند · ۶۱ بخش |
| مستندات فنی | ۱۵ مستند در ۶ دسته |
| صفحات بازطراحی‌شده | محصولات، ۳ محصول، تماس، پشتیبانی، مستندات، فناوری، هوش مصنوعی، طراحی، توسعه‌دهندگان، تغییرات |
| اصلاحات امنیتی | ۹ مورد در جریان احراز هویت و پیکربندی |