ممارسات الأمان والإبلاغ عن الثغرات

يتعامل رصيدو مع سجلات الفواتير وبيانات الاعتماد المستخدمة للاتصال مع ZATCA. نرحب بالإبلاغ عن المشكلات الأمنية حتى يمكن فحصها ومعالجتها. توضح هذه الصفحة طريقة تخزين المعلومات الحساسة، والجهة التي تُرسل إليها بيانات الفواتير، وكيفية الإبلاغ عن ثغرة أمنية.

كيف تحمي الإضافة متجرك

يشفّر رصيدو المفاتيح الخاصة والشهادات باستخدام مفتاحي AUTH_KEY وSECURE_AUTH_KEY التابعين لموقع WordPress الخاص بك. وتعتمد عملية التشفير على المفاتيح الموجودة في موقعك. إذا تغيّر أحد هذين المفتاحين، فستحتاج إلى ربط المتجر مجددًا باستخدام رمز تحقق (OTP) جديد من بوابة فاتورة. ولا تتأثر الفواتير التي سبق إصدارها بهذا التغيير.

تستخدم الإجراءات الإدارية في الإضافة رموز التحقق الأمنية الخاصة بـ WordPress وفحوصات صلاحيات المستخدمين. وتُطبّق هذه الفحوصات على كل إجراء إداري في الإضافة لتقييد الأشخاص الذين يمكنهم إجراء التغييرات من شاشات الإدارة.

تُرسل وثائق الفواتير إلى واجهة Fatoora API التابعة لـ ZATCA على العنوان gw-fatoora.zatca.gov.sa. ولا يبدأ رصيدو إرسال الفواتير الإلكترونية قبل إكمال ربط المتجر وتفعيل خيار "إصدار الفواتير الإلكترونية". تُحفظ ملفات XML الموقّعة وردود ZATCA على موقع WordPress الخاص بمتجرك. وتبقى محفوظة بعد إزالة الإضافة، إلا إذا اخترت صراحةً حذف جميع البيانات.

كيف يُحمى الموقع الإلكتروني

يستخدم موقع رصيدو بروتوكول HTTPS مع سياسة HSTS وسياسة أمان المحتوى. ولا يحتوي الموقع على نماذج تواصل أو نظام حسابات للزوار. ويتم التواصل مع المطوّر عبر البريد الإلكتروني.

يعمل الموقع على Vercel، التي تعالج عناوين IP وتفاصيل طلبات الزوار لتقديم صفحات الموقع. ولا يتم تحميل Google Analytics 4 عبر Google Tag Manager إلا بعد موافقة الزائر على لافتة ملفات تعريف الارتباط. ولا نستخدم الإعلانات أو إعادة الاستهداف التسويقي.

الإبلاغ عن ثغرة أمنية

أرسل بلاغك إلى info@raseedo.com، وضع كلمة "Security" في عنوان الرسالة. اذكر إصدار رصيدو المتأثر، والخطوات اللازمة لإعادة إنتاج المشكلة، ووصفًا لما يحدث. وإذا كانت المشكلة مرتبطة بإصدار محدد من WordPress أو WooCommerce أو PHP، فأضف هذه المعلومات أيضًا.

يرجى إجراء الاختبارات الأمنية على المواقع التي تملكها أو التي حصلت على إذن باختبارها فقط. لا تحاول الوصول إلى فواتير أو مفاتيح أو سجلات عملاء تخص متجرًا آخر. ونرجو عدم نشر تفاصيل الثغرة قبل توفر إصلاح لها.

يمكنك أيضًا العثور على معلومات التواصل الأمني في الملف /.well-known/security.txt.

ما الذي يحدث بعد إرسال البلاغ

نسعى إلى تأكيد استلام البلاغ الأمني ومعالجة المشكلة المؤكدة في الإصدار التالي. لا نحدد موعدًا مضمونًا لتأكيد الاستلام أو تقديم الإصلاح أو إصدار التحديث. وقد تختلف مدة فحص المشكلة بحسب سببها والإصدارات المتأثرة.

لا يقدم رصيدو برنامج مكافآت مالية لاكتشاف الثغرات الأمنية. ومع ذلك، يمكنك إرسال بلاغك إلى عنوان البريد الإلكتروني المذكور أعلاه. يرجى تقديم معلومات كافية لإعادة إنتاج المشكلة دون الكشف عن بيانات تخص متاجر أخرى.