تكاملات Meta الرسمية
واتساب للأعمال وإنستغرام وماسنجر عبر واجهات رسمية—بدون كشط أو عملاء غير رسميين.
مركز الثقة
الأمان والثقة
Last updated: May 2026
الأمان مدمج في منتجنا—وليس إضافة لاحقة. تلخص هذه الصفحة الضوابط التي نطبقها اليوم. نتماشى مع توقعات المؤسسات لمنصات Meta مع الشفافية حول مسارنا نحو شهادات رسمية.
ويب هوك موثّق
التحقق من توقيع HMAC-SHA256 بمقارنة آمنة زمنياً لأحداث Meta الواردة.
بيانات اعتماد مشفّرة
رموز التكامل مشفّرة عند التخزين (AES-256-GCM). لا تُعاد الأسرار في استجابات API للمتصفح.
عزل المستأجرين
كل مسار بيانات محدود بـ business_id في التطبيق، مع اختبارات تلقائية لمنع الوصول عبر المستأجرين في CI.
التحكم بالوصول
صلاحيات فريق حسب الدور، تدوير الجلسة عند تسجيل الدخول، ملفات HttpOnly، وفحص Origin للطلبات المعدّلة.
منع الإساءة
حدود معدل API والويب هوك، حماية من الاندفاع، حصص الخطط، وتصعيد بشري.
نموذج التهديد والتخفيف
| التهديد | التخفيف |
|---|---|
| تزوير الويب هوك | HMAC-SHA256 من Meta، مقارنة آمنة زمنياً |
| إعادة التشغيل / التسليم المكرر | منع التكرار عبر معرف الرسالة الخارجي |
| سرقة بيانات الاعتماد | تشفير عند التخزين؛ استجابات API مُنقّاة؛ لا أسرار في السجلات |
| وصول عبر المستأجرين | نطاق business_id + اختبارات عزل تلقائية |
| البريد المزعج / الفيض | حدود المعدل، حد الاندفاع، حصص الخطط |
| اختطاف الجلسة | ملفات HttpOnly، تجزئة الجلسات، تدوير عند الدخول |
| سلسلة التوريد | Dependabot، npm audit في CI، قفل lockfile |
المصادقة
- جلسات المتصفح تستخدم ملف session_token من الطرف الأول HttpOnly (7 أيام عادة).
- رموز الجلسة تُخزّن كتجزئات HMAC-SHA256—وليس نصاً صريحاً عند التخزين.
- لا نُصدر رموز API عامة للمتصفحات حالياً.
- ملفات الإنتاج: Secure وHttpOnly وSameSite حسب النشر.
بنية عزل البيانات
قاعدة البيانات تستخدم Supabase مع دور خدمة في الخلفية. RLS ليس الحد الأساسي للعزل—الإنفاذ في طبقة التطبيق على كل استدعاء مستودع.
اختبارات أمان تلقائية في التكامل المستمر تتحقق من أن مستأجراً لا يصل لموارد مستأجر آخر.
الإفصاح المسؤول
أبلغ عن الثغرات خاصة إلى support@lumorq.com مع خطوات إعادة الإنتاج وتقييم الأثر.
نهدف للإقرار خلال 3 أيام عمل وتقديم جدول معالجة للمشاكل المؤكدة.
يرجى عدم الوصول لبيانات عملاء آخرين أو تعطيل الإنتاج.
التشغيل والمرونة
- نسخ احتياطية مشفّرة عبر مزود قاعدة البيانات؛ أهداف RPO/RTO وإجراءات استعادة موثّقة.
- أحداث تدقيق أمني لـ OAuth وتغيير الأدوار والتصدير والحذف وفشل تجديد الرموز.
- الاستجابة للحوادث: إبطال مفاتيح المزود، تدوير التشفير، مفتاح إيقاف الذكاء الاصطناعي، إبطال الجلسات.
- SOC 2 Type II على خارطة الطريق—لا ندّعي الشهادة اليوم.
المدفوعات وPCI
When self-serve billing is enabled, subscription payments are processed by Stripe using Stripe Checkout. Card numbers are entered on Stripe-hosted pages and are not stored on our servers.
Merchants using Stripe Checkout typically qualify for PCI SAQ A scope. You remain responsible for securing your account credentials and workspace access.
شركاء البنية
راجع سياسة الخصوصية لتفاصيل المعالجين الفرعيين وسياق المعالجة.