امنیت، یک تعهد مهندسی

۱ رویکرد ما به امنیت

کراپلود امنیت را یک ویژگی جداگانه نمی‌داند؛ آن را بخشی از معماری محصول می‌داند. هر قابلیتی که ساخته می‌شود، پیش از انتشار از منظر حریم خصوصی، کنترل دسترسی، ایمنی داده و رفتار در برابر خطا بررسی می‌شود. اصل حاکم، «حریم خصوصی در طراحی» و «حداقل دسترسی» است: هر جزء سامانه تنها به همان داده‌ای دسترسی دارد که برای انجام وظیفهٔ خود لازم دارد.

امنیت یک وضعیت ثابت نیست؛ یک فرایند مستمر است که شامل طراحی، پیاده‌سازی، آزمون، پایش، پاسخ به رخداد و اصلاح می‌شود. بنابراین این صفحه نیز سندی زنده است و با تکامل سامانه به‌روزرسانی می‌شود.

۲ لایه‌های دفاعی

حفاظت از داده در کراپلود در چند لایهٔ مستقل انجام می‌شود؛ به‌گونه‌ای که شکست یک لایه، به‌تنهایی باعث افشای داده نشود:

1. لایهٔ شبکه: تنها پورت‌های لازم برای سرویس‌های عمومی باز است؛ پایگاه داده، سرویس کش و سرویس‌های داخلی فقط از طریق localhost در دسترس‌اند.
2. لایهٔ وب‌سرور: محدودسازی نرخ درخواست، مسدودسازی مسیرهای اسکنرها، بلاک فایل‌ها و پوشه‌های مخفی و اعمال هدرهای امنیتی.
3. لایهٔ برنامه: محافظت CSRF، اعتبارسنجی ورودی، جداسازی دامنه‌ها، کنترل دسترسی نقش‌محور و احراز هویت نشست‌محور.
4. لایهٔ داده: هش رمز، حداقل‌سازی داده، پشتیبان‌گیری و کنترل دسترسی به پایگاه داده.
5. لایهٔ پایش: ثبت رویدادهای امنیتی، تاریخچهٔ ورود و بررسی فعالیت‌های مشکوک.

۳ احراز هویت و مدیریت نشست

• ورود یکپارچه: ورود شما روی auth.croplod.com انجام و یک نشست مشترک روی دامنهٔ .croplod.com برقرار می‌شود تا در تمام سرویس‌ها معتبر باشد.
• چرخش نشست: هنگام ورود، شناسهٔ نشست بازتولید می‌شود تا نشست پیش از ورود قابل استفاده نباشد (جلوگیری از Session Fixation).
• توکن CSRF: هر فرم با توکن یکتا محافظت می‌شود و در صورت کهنه‌بودن توکن، به‌جای خطای بن‌بست، فرم با توکن تازه بارگذاری می‌شود.
• کوکی امن: کوکی نشست با ویژگی‌های HttpOnly، Secure و SameSite=Lax تنظیم می‌شود.
• انقضای نشست: نشست غیرفعال پس از بازهٔ تعیین‌شده منقضی می‌شود و با خروج دستی، بلافاصله حذف می‌گردد.

۴ احراز هویت دو مرحله‌ای (۲FA)

کراپلود از استاندارد TOTP پشتیبانی می‌کند که با برنامه‌های احراز هویت سازگار است. با فعال‌سازی:

• ورود شما تنها با ترکیب رمز عبور و کد شش‌رقمی زمان‌محور کامل می‌شود.
• ده کد بازیابی یک‌بارمصرف تولید می‌شود تا در صورت گم‌شدن دستگاه، دسترسی از دست نرود.
• راز TOTP به‌صورت محرمانه نگهداری و تنها برای اعتبارسنجی همان حساب استفاده می‌شود.
• هر فعال‌سازی، غیرفعال‌سازی یا بازتولید کد، به‌عنوان رویداد امنیتی ثبت می‌شود.

۵ رمزنگاری

• در انتقال: تمام ارتباطات با TLS رمزنگاری می‌شود. گواهی‌ها به‌صورت خودکار مدیریت می‌شوند و HSTS با تمدید یک‌ساله و preload اعمال می‌گردد تا اتصال ناامن ممکن نباشد.
• در ذخیره: رمز عبور با الگوریتم هش یک‌طرفه (PBKDF2) و نمک یکتا برای هر کاربر ذخیره می‌شود؛ بازیابی رمز اصلی برای هیچ‌کس — از جمله کراپلود — ممکن نیست.
• در کوکی: کوکی‌های حساس با HttpOnly از دسترسی جاوااسکریپت مصون‌اند.
• در پرداخت: اطلاعات کارت بانکی هرگز به سرور کراپلود نمی‌رسد و تنها در محیط درگاه پرداخت وارد می‌شود.

۶ امنیت شبکه و زیرساخت

• حداقل سطح حمله: تنها سرویس‌های لازم در معرض اینترنت قرار دارند؛ پایگاه داده و کش داخلی روی 127.0.0.1 گوش می‌دهند.
• محدودسازی نرخ: نقاط حساس — ورود، ثبت‌نام، بازیابی رمز و پنل مدیریت — سقف درخواست دارند تا حملات بروت‌فورس و ارسال انبوه بی‌اثر شود.
• مسدودسازی خودکار: تلاش‌های مکرر ناموفق در سطح شبکه و سرویس شناسایی و مسدود می‌شوند.
• به‌روزرسانی: مؤلفه‌های زیرساخت و کتابخانه‌های برنامه به‌صورت دوره‌ای به‌روزرسانی می‌شوند و تغییرات پیش از اعمال در محیط آزمایش بررسی می‌گردند.
• جداسازی محیط: محیط تولید از محیط توسعه جدا است و دسترسی به آن تنها با کلید و از مسیرهای مجاز انجام می‌شود.

۷ جداسازی دامنه‌ها و اعتماد مرزی

کراپلود هر سرویس را روی دامنهٔ اختصاصی خود اجرا می‌کند و مسیرهای حساس در همان دامنه باقی می‌مانند. سیاست اعتماد میان دامنه‌ها محدود و صریح است: نشست مشترک تنها میان زیردامنه‌های croplod.com برقرار است و دامنه‌های بیرونی اجازهٔ خواندن کوکی یا نشست کراپلود را ندارند. فهرست مبدأهای مجاز برای درخواست‌های بین‌دامنه‌ای، بسته و مشخص است.

۸ کنترل دسترسی و نقش‌ها

• دسترسی به پنل مدیریت تنها برای نقش‌های مجاز و پس از احراز هویت کامل ممکن است؛ مسیر پنل برای کاربران غیرمجاز پاسخ «یافت نشد» می‌دهد.
• هر نقش تنها به بخشی از قابلیت‌ها دسترسی دارد که برای وظیفهٔ خود لازم دارد (اصل حداقل دسترسی).
• در محیط‌های سازمانی، دسترسی اعضا بر اساس ساختار تعریف‌شده توسط سازمان اعمال می‌شود.
• دسترسی به دادهٔ حساس در سطح عملیاتی محدود و ثبت‌شده است.

۹ امنیت پرداخت و کیف پول

پرداخت‌ها از طریق درگاه بانکی مجاز انجام می‌شود و کراپلود هیچ‌گاه اطلاعات کارت را دریافت یا ذخیره نمی‌کند. تراکنش‌ها با شناسهٔ یکتا ثبت می‌شوند و در صورت خطای فنی، فرآیند بازگشت وجه رسمی و قابل پیگیری است. تراکنش‌های مشکوک تا روشن‌شدن وضعیت معلق می‌مانند و دسترسی به سوابق مالی محدود به نقش‌های مجاز است.

۱۰ پایش، ثبت و پاسخ به رخداد

کراپلود رویدادهای مهم امنیتی را ثبت می‌کند: ورود موفق و ناموفق، تغییر رمز، تغییر تنظیمات امنیتی، تلاش برای دسترسی غیرمجاز و ناهنجاری‌های نرخ درخواست. این سوابق برای تشخیص الگوهای حمله و پاسخ سریع به کار می‌روند. بخشی از این سوابق به‌صورت مستقیم در پنل امنیت به خود شما نمایش داده می‌شود تا بتوانید هر فعالیت ناشناس را سریع تشخیص دهید.

در صورت وقوع رخداد امنیتی مؤثر بر داده، کراپلود پس از مهار، دامنهٔ اثر را بررسی و اطلاع‌رسانی شفاف انجام می‌دهد و اقدامات اصلاحی لازم را اجرا می‌کند.

۱۱ پشتیبان‌گیری و تداوم سرویس

از داده‌ها و پایگاه‌های اطلاعاتی به‌صورت دوره‌ای پشتیبان تهیه می‌شود و پشتیبان‌ها در مسیر جداگانه از محیط اجرا نگهداری می‌شوند. هدف، بازیابی پذیرفتنی داده در صورت بروز خطای سخت‌افزاری، خطای انسانی یا رخداد امنیتی است. پشتیبان‌ها نیز مطابق همان اصول محرمانگی و حداقل دسترسی محافظت می‌شوند.

۱۲ شفافیت: چه چیزهایی را عمومی می‌کنیم

شفافیت برای ما یعنی ادعاهای قابل بررسی. به همین دلیل:

• سیاست‌ها عمومی‌اند: این صفحه، سیاست حریم خصوصی و شرایط استفاده برای همه قابل مطالعه‌اند.
• تغییرات اعلام می‌شود: تغییر مهم در سیاست‌ها پیش از اجرا اطلاع‌رسانی می‌شود.
• وضعیت سرویس: دسترس‌پذیری سرویس‌ها از صفحهٔ «وضعیت» قابل پیگیری است.
• تغییرات محصول: فهرست تغییرات فنی و محصولی در صفحهٔ «تغییرات» منتشر می‌شود.
• مستندات: رفتار سامانه‌ها و سیاست‌های عملیاتی در مرکز مستندات توضیح داده می‌شود.

در مقابل، ما هیچ‌گاه جزئیات فنی‌ای را که افشای آن امنیت کاربران را کم کند — مانند پیکربندی داخلی، کلیدها یا مسیرهای دسترسی — منتشر نمی‌کنیم. شفافیت به معنای افشای سطح حمله نیست.

۱۳ توصیه‌های امنیتی به کاربران

• برای هر سرویس، رمز یکتا و بلند انتخاب کنید و از تکرار رمز در سرویس‌های دیگر پرهیز کنید.
• احراز هویت دو مرحله‌ای را فعال کنید؛ این مؤثرترین لایهٔ حفاظت شخصی است.
• کدهای بازیابی ۲FA را در جای امن و جدا از دستگاه اصلی نگه دارید.
• پیش از ورود، نشانی دامنه را در نوار آدرس بررسی کنید؛ دامنه‌های رسمی همیشه زیر croplod.com هستند.
• هیچ‌گاه رمز یا کد یک‌بارمصرف را در پاسخ به پیام، ایمیل یا تماس ناشناس اعلام نکنید. کراپلود هرگز رمز شما را نمی‌پرسد.
• در دستگاه‌های مشترک، پس از پایان کار از حساب خارج شوید و کوکی‌ها را پاک کنید.
• نشست‌های فعال را دوره‌ای بررسی کنید و دستگاه ناشناس را ببندید.

۱۴ گزارش آسیب‌پذیری

اگر آسیب‌پذیری امنیتی در سرویس‌های کراپلود یافتید، لطفاً پیش از هر انتشار عمومی، آن را به security@croplod.com گزارش دهید و جزئیات بازتولید، اثر و پیشنهاد اصلاح را ضمیمه کنید. ما گزارش‌های مسئولانه را بررسی می‌کنیم و از تلاش برای دسترسی به دادهٔ دیگران، تغییر داده، ایجاد اختلال یا آزمون روی حساب‌های واقعی کاربران درخواست می‌کنیم پرهیز شود.

۱۵ اگر حساب شما قفل شد

1. به صفحهٔ ورود مراجعه کرده و گزینهٔ «فراموشی رمز عبور» را انتخاب کنید.
2. نشانی ایمیل حساب خود را وارد کنید و پیوند بازنشانی را دریافت کنید.
3. رمز عبور جدید تعیین کنید؛ این عمل به‌طور خودکار قفل حساب را برمی‌دارد.
4. با رمز جدید وارد شوید و در صورت تمایل ۲FA را فعال کنید.
5. اگر به ایمیل دسترسی ندارید، از بخش پشتیبانی با ذکر شناسهٔ حساب درخواست بررسی ثبت کنید.

۱۶ مرزهای تعهد ما

کراپلود کنترل‌های خود را با دقت انتخاب و اجرا می‌کند، اما امنیت مطلق در هیچ سامانه‌ای قابل تضمین نیست. بخشی از امنیت به رفتار شما وابسته است: انتخاب رمز قوی، فعال‌سازی ۲FA، به‌روز نگه‌داشتن دستگاه و پرهیز از افشای اطلاعات. تعهد ما این است که لایه‌های تحت کنترل خود را جدی، مستمر و شفاف نگه داریم؛ تعهد شما این است که لایه‌های تحت کنترل خود را کم‌اهمیت ندانید.

۱۷ تماس

• گزارش رخداد امنیتی: security@croplod.com
• پرسش دربارهٔ حریم خصوصی: privacy@croplod.com
• پشتیبانی عمومی: support@croplod.com

تاریخ آخرین بازنگری این صفحه: آبان ۱۴۰۵