دخول
لا تُخزَّن كلمات مرور الحسابات كنص أبداً. تُحفظ كتجزئات أحادية الاتجاه مملّحة تُنشأ بدالة password_hash() في PHP بخوارزميتها الافتراضية، وتُفحص بدالة password_verify() عند تسجيل الدخول. وتُجدَّد الجلسة بمعرّف جديد بعد تسجيل الدخول.
تُخزَّن مفاتيح API كتجزئات SHA-256 بمفتاح (HMAC) وتُستخدم فقط للتحقق من الطلبات. يمكن تجديد المفتاح من لوحة التحكم، وتُمسح النسخ القابلة للقراءة القديمة منه. أبقِ مفتاحك سرياً، فكل من يملكه يستطيع التصرف باسمك عبر API.
الإجراءات التي تغيّر حسابك، مثل تحديث الإعدادات أو حذف الفيديوهات، تتطلب رمز CSRF مرتبطاً بجلستك، ويُقارن الرمز في زمن ثابت. وتُعلَّم ملف ارتباط الجلسة بـ HttpOnly وSameSite=Lax، فلا تستطيع سكربتات الصفحة قراءته ولا يُرسل مع معظم الطلبات عبر المواقع.
تُحفظ الفيديوهات المرفوعة وملفات البث المعالجة الخاصة بها في مجلد تخزين خاص تم ضبط خادم الويب لمنع الوصول المباشر إليه. وتُقدَّم عبر التطبيق الذي يفحص الطلب أولاً. وتُرسل الملفات مع رؤوس تخزين مؤقت تعلّمها كخاصة، لذا لا يفترض أن تحتفظ بها الذاكرات المؤقتة المشتركة.
تتلقى المشغّلات جلسات تشغيل قصيرة العمر بدلاً من عناوين ملفات دائمة، والمدة الافتراضية 15 دقيقة. وتُسجَّل طلبات التحميل مقابل نسخة مجزّأة من عنوان IP الطالب بدلاً من العنوان نفسه، وينطبق الأمر نفسه على احتساب المشاهدات.
يمكن أن يكون كل فيديو عاماً أو خاصاً، ويمكنك تحويل فيديوهات محددة إلى خاصة من لوحة التحكم. لا تظهر الفيديوهات الخاصة في صفحات المجلدات العامة. ومع ذلك يستطيع مشرفو الموقع فتح أي ملف عند معالجة بلاغات الإساءة أو حقوق النشر.
يفرض API الخاص بـ HTTP حدوداً لكل حساب على الطلبات في الساعة والطلبات في اليوم وعمليات الرفع في اليوم (افتراضياً 250 و5,000 و25)، ويرد بحالة 429 ورأس Retry-After عند بلوغ الحد. ويقتصر الرفع كزائر من الصفحة الرئيسية على عشرة حسابات مؤقتة لكل عنوان شبكة في اليوم. وللنماذج العامة مثل نموذج الإبلاغ عن إساءة حدودها الخاصة.
يمكنك حذف الفيديوهات من لوحة التحكم. حذف الفيديو يزيل ملفاته المخزّنة وسجلاته في قاعدة البيانات. أما حذف الحساب فيُعالج كطلب عبر صفحة التواصل، وتوضح سياسة الخصوصية مدة الاحتفاظ بالنسخ الاحتياطية والالتزامات القانونية.
يكتشف الموقع متى يُقدَّم عبر HTTPS وينشئ روابط آمنة في هذه الحالة. أما فرض HTTPS على كل زيارة وسياسات المتصفح المرتبطة به فتُضبط في إعدادات خادم الويب لا في كود التطبيق، لذا تأكد دائماً من أن شريط العنوان يعرض اتصالاً آمناً قبل تسجيل الدخول.
إذا وجدت مشكلة أمنية، فيُرجى إبلاغنا عبر صفحة التواصل مع تفاصيل كافية لإعادة إنتاجها. ويُرجى عدم الوصول إلى بيانات الآخرين أو تعطيل الخدمة أثناء الاختبار. وللإبلاغ عن محتوى مسيء استخدم الإبلاغ عن إساءة.
