أمان يمكنك التحقق منه
الضوابط موزّعة على طبقات تشمل الهوية والتطبيق والشبكة والبيانات. لا يُعتمد على ضابط واحد، ويُسجَّل كل إجراء يتطلب صلاحيات مميزة. ولا تحمل BINK أي شهادات أمنية بعد، وتقول ذلك صراحة.
سياسة الأمان v2.2 · سارية من 1 سبتمبر 2026
مقروءة من سياسة الأمان، لا مُعاد صياغتها. ولا يمكن لهذه اللوحة أن تعرض هدف استعادة لا تذكره الوثيقة.
دفاع متعدد الطبقات
خمسة أمور يجب أن تتحقق معًا
لا يقوم الأمان على ضابط واحد
أربع طبقات
الهوية والتطبيق والشبكة والبيانات — كلٌّ منها كافٍ بذاته لاحتواء الأخرى
الضوابط موزّعة على طبقات تشمل الهوية والتطبيق والشبكة والبيانات. لا يُعتمد على ضابط واحد، ويُسجَّل كل إجراء يتطلب صلاحيات مميزة ويُراجَع. الضابط الذي لا يمكن أن يفشل ضابطٌ لم يختبره أحد — وضوابطنا مرتّبة بحيث تحتوي الضوابط الأخرى فشلَ أيٍّ منها.
مقاومة للتصيّد افتراضيًا
مفاتيح المرور (Passkeys) ومفاتيح الأمان المادية مدعومة في كل حساب، مع رموز لمرة واحدة للتحقق الإضافي، وتأكيد الأجهزة الجديدة قبل أول استخدام. وتنتهي صلاحية الجلسات، ويمكن إلغاؤها فورًا من إعدادات الأمان.
مفاتيح لا يحملها أحد بمفرده
تُشفَّر البيانات المخزّنة باستخدام AES-256، وتُدار المفاتيح في وحدات أمان مادية (HSM) بتحكّم مُقسَّم. وتُحوَّل بيانات البطاقات إلى رموز (Tokenisation).
بيئة إنتاج لا يدخلها أحد دون إذن
تعمل بيئة الإنتاج في بيئات معزولة بوصول بأدنى الصلاحيات، ومراجعة إلزامية لكل تغيير، وعمليات نشر غير قابلة للتعديل. ويتطلب الوصول إلى بيانات الإنتاج موافقة، وهو محدود المدة.
صريحون بشأن ما لم يُنجز بعد
لا تحمل BINK حاليًا أي شهادة ISO 27001 أو SOC 2 أو PCI DSS، ولم يُجرَ أي تقييم أمني مستقل حتى الآن. ولن ننشر أي شهادة إلا بعد الحصول عليها فعلًا.
رحلة الجلسة
أين يقع كل ضابط فعليًا
قائمة الضوابط تقول ما هو موجود. وهذا يقول متى يعمل كلٌّ منها — من لحظة تسجيل دخولك إلى لحظة إغلاق الحادث.
تسجيل الدخول
إثبات، لا مجرد كتابة
مفاتيح المرور (Passkeys) ومفاتيح الأمان المادية مدعومة في كل حساب، مع رموز لمرة واحدة للتحقق الإضافي عند الإجراءات الحساسة.
جهاز جديد
يُؤكَّد قبل أول استخدام
ربط الأجهزة يعني أن الجهاز غير المعروف لا يستطيع إجراء أي عملية على حسابك حتى تؤكّده، ويمكن إلغاء أي جلسة فورًا من إعدادات الأمان.
أثناء النقل
TLS 1.3
تُشفَّر حركة البيانات بين جهازك والمنصة باستخدام TLS 1.3.
أثناء التخزين
AES-256، مع تقسيم المفاتيح
تُشفَّر البيانات المخزّنة باستخدام AES-256، وتُدار المفاتيح في وحدات أمان مادية بتحكّم مُقسَّم، وتُحوَّل بيانات البطاقات إلى رموز.
طوال الوقت
تقييم مستمر
تُقيَّم الجلسات والأجهزة والمدفوعات باستمرار. وتستدعي الأنماط غير المعتادة تحققًا إضافيًا، أو تعليقًا مؤقتًا، أو مراجعة من فريق مكافحة الاحتيال لدينا.
إذا تعطّل شيء
الرصد، ثم الاحتواء
رصد وفرز بمناوبة في جميع الأوقات، مع عزل الجلسات أو الحسابات المتأثرة قبل أي خطوة أخرى.
بعد ذلك
الإفصاح والمراجعة
إخطار العملاء المتأثرين والجهات الرقابية ضمن المهل المطلوبة، ونشر ملخص لمراجعة ما بعد الحادث متى كان الحادث جوهريًا.
الأمان التشغيلي
نصفه علينا. ونصفه عليك.
الضوابط التي نشغّلها ليست سوى نصف أمان الحساب. أما النصف الآخر فهو الدقيقتان اللتان يستغرقهما تسجيل مفتاح مرور — كما هو منصوص عليه في دورك.
إذا اشتبهت في وصول غير مصرّح به
جمّد بطاقاتك من التطبيق وتواصل مع الدعم فورًا. تواصل معنا أولًا ثم غيّر بيانات الدخول — فنحن نفضّل أن نسمع منك مبكرًا.
TLS 1.3
تشفير حركة البيانات أثناء النقل
AES-256
البيانات المخزّنة، مع تقسيم المفاتيح في وحدات HSM
داخل التطبيق
تُقيَّم الجلسات والأجهزة والمدفوعات ببرمجيات BINK نفسها
يوم عمل واحد
لتأكيد استلام بلاغات الإفصاح
أسئلة
ما يسأل عنه مراجعو الأمان أولًا
ما هدف الاستعادة لديكم إذا تعطّلت منطقة تشغيل؟
RPO 15 دقيقة وRTO 4 ساعات. النسخ الاحتياطية مشفّرة وتُختبر كل ثلاثة أشهر. هذه هي الأرقام التي تذكرها سياسة الأمان — ولا يمكن لهذه الصفحة أن تذكر رقمًا أفضل منها.
هل تدعمون مفاتيح الأمان المادية؟
نعم. مفاتيح المرور ومفاتيح الأمان المادية مدعومة في كل حساب. وتُستخدم الرموز لمرة واحدة للتحقق الإضافي عند الإجراءات الحساسة، لا كعامل مصادقة أساسي.
كيف تُعالَج بيانات البطاقات؟
تُحوَّل بيانات البطاقات إلى رموز. لا تحمل BINK حاليًا شهادة PCI DSS، وستُقدَّم خدمات البطاقات عبر شركاء إصدار مرخّصين عند تشغيلها.
من يستطيع الوصول إلى بيانات الإنتاج؟
الوصول بأدنى الصلاحيات، ويتطلب موافقة، ومحدود المدة، ومسجَّل. ويخضع كل تغيير يصل إلى بيئة الإنتاج لمراجعة إلزامية من الزملاء وفحوص آلية، وعمليات النشر غير قابلة للتعديل.
هل ستُبلغونني إذا وقع حادث؟
يُخطَر العملاء المتأثرون والجهات الرقابية ضمن المهل المطلوبة، ويُنشر ملخص لمراجعة ما بعد الحادث متى كان الحادث جوهريًا.
كيف أبلّغ عن ثغرة أمنية؟
عبر قناة الأمان داخل التطبيق، أو على security@binkpay.net. نؤكد الاستلام خلال يوم عمل واحد، ولن نتخذ أي إجراء ضد الأبحاث التي تُجرى بحسن نية. ويجب ألا يصل الاختبار إلى بيانات عملاء آخرين، أو يُضعف الخدمة، أو يستخدم الهندسة الاجتماعية ضد الموظفين أو العملاء.
هل ستطلب BINK مني يومًا كلمة المرور أو الرمز لمرة واحدة؟
أبدًا — لا عبر الهاتف، ولا بالبريد الإلكتروني، ولا في المحادثة. وإن طلبها أحد، فليس نحن. جمّد بطاقاتك من التطبيق وتواصل مع فريق الأمان فورًا.
الحدود
ما لن تفعله BINK أبدًا
سطرٌ يستطيع العميل أن يقيس عليه أي محاولة تواصل أجدى من فقرة عن اليقظة. وكل بند من هذه البنود منصوص عليه في سياسة الأمان.
لن نطلب كلمة مرورك أبدًا. ولا الرمز لمرة واحدة ولا مفتاح المرور، عبر أي قناة.
لا نعتمد على ضابط واحد. كل طبقة تفترض أن الطبقة التي فوقها ربما فشلت.
لا ننشر هنا أرقامًا لنسبة التشغيل. لا تذكر أي سياسة معتمدة رقمًا كهذا، لذا لا تذكره هذه الصفحة أيضًا.
لا نلاحق الأبحاث التي تُجرى بحسن نية. نرحّب بالإفصاح المنسّق، ونؤكد استلامه خلال يوم عمل واحد.
ذو صلة
كل ما تُقرأ منه هذه الصفحة
هل وجدت ثغرة أمنية؟
نرحّب بالإفصاح المنسّق، ونؤكد استلام البلاغات خلال يوم عمل واحد. ويجب ألا يصل الاختبار إلى بيانات عملاء آخرين، أو يُضعف الخدمة، أو يستخدم الهندسة الاجتماعية ضد الموظفين أو العملاء.