الأمان
الأمان والامتثال
ذا اكس سيستم يحفظ دفاتر شركات أخرى. هذا ما يحميها، بأوضح ما يمكن — بما في ذلك ما ليس صحيحًا بعد.
عزل المستأجرين
كل جدول بيانات أعمال يحمل معرّف مستأجر مفروضًا بأمان الصفوف في PostgreSQL، لا بكود التطبيق فقط — استعلام دون سياق مستأجر يعيد صفرًا من الصفوف من قاعدة البيانات نفسها، حتى من خطأ برمجي (ADR-0004). يحمل موظفو المنصة والشركاء ومستخدمو المستأجرين هويات ونطاقات رموز منفصلة (ADR-0005)، فرمز مستأجر مسرَّب لا يصل إلى لوحة المشغّل ورمز موظف مسرَّب لا يصل إلى بيانات المستأجرين.
سجل تدقيق غير قابل للتعديل
يُكتب كل تعديل في الأعمال إلى سجل تدقيق متسلسل بالتشفير: يحمل كل صف بصمة الصف الذي قبله، فأي محاولة لتعديل أو حذف السجل تكسر السلسلة وتُكتشف بإعادة الحساب، لا بالثقة.
المصادقة الثنائية وحماية الحساب
مصادقة ثنائية (TOTP)، إغلاق الحساب بعد محاولات دخول فاشلة متكررة، قائمة جلسات أجهزة يمكن للمستخدم مراجعتها وإلغاؤها، وسياسة كلمات مرور مفروضة عند التسجيل وإعادة التعيين.
التشفير
الأسرار (مفاتيح API، أسرار توقيع ويب هوك، بيانات اعتماد التكاملات) مجزّأة أو مشفّرة في التخزين ولا تُسجَّل كاملة أبدًا؛ الاتصالات تستخدم TLS أثناء النقل.
النسخ الاحتياطي واختبارات الاستعادة
نسخ احتياطي يومي موثّق بهدف نقطة استرداد 15 دقيقة وهدف زمن استرداد ساعتين، واختبارات استعادة مجدولة تثبت أن النسخة تُستعاد فعلًا، لا أنها كُتبت فقط.
أحداث الأمان
تسجَّل عمليات الدخول والفشل والإغلاق وتغييرات المصادقة الثنائية وإعادة تعيين كلمات المرور وإلغاء الجلسات وإنشاء مفاتيح API وأي وصول دعم لمستأجر كأحداث أمان يمكن للمستأجر مراجعتها من مساحة عمله.
جاهزية SOC 2 Type I
نعمل نحو معيار SOC 2 Type I لمعايير الأمان والتوافر والسرية — لسنا معتمدين بعد، ونقول ذلك بوضوح بدلًا من الإيحاء بغير ذلك. مصفوفة الضوابط الكاملة، بما هو منفَّذ أو جزئي أو مخطَّط، وثيقة داخلية حية؛ ملخص متاح عند الطلب.
إقامة البيانات
يُخطَّط للإنتاج على منطقة Google Cloud في الدوحة كموقع خليجي أساسي، مع تثبيت بيانات المستأجر في منطقته المخصصة وعدم نقلها دون اتفاق كتابي. اليوم، قبل الإطلاق، تعمل كل البيانات على قاعدة بيانات تطوير واحدة مشفّرة في الدوحة، قطر. راجع بيان إقامة البيانات الكامل لما هو مضمون وما ليس بعد.
الإفصاح المسؤول
وجدت طريقة دخول لا ينبغي أن توجد؟ راسل security@thexsys.com بما وجدته وكيفية إعادة إنتاجه. نؤكد الاستلام خلال يومي عمل، ونقيّم الخطورة خلال 5 أيام عمل، وننسب الفضل للمبلّغين الراغبين في ذلك. النطاق الكامل وقواعد الاشتباك في SECURITY.md.
اطلب حزمة الأمان
لمراجعة العناية الواجبة، يمكننا مشاركة مصفوفة الضوابط الكاملة وسياساتنا وآخر سجل اختبار استعادة بموجب اتفاقية عدم إفصاح متبادلة.