دروسك هي البيزنس. احميها على الأساس ده.

القرصنة مش مشكلة واحدة، فمش هياخد إعداد واحد. كل طبقة تحت بتتشغّل لوحدها من الإعدادات ← الأمان، لأن التركيبة المناسبة لكورس مسجّل بـ 30 دولار مش نفس التركيبة لمجموعة مراجعة امتحانات مباشرة.

طالب واحد بيشتري، واتناشر بيتفرجوا. ده أهدأ تسريب إيراد في التعليم أونلاين، ومش بيتحل بحماية الفيديو — بيتحل بعدّ الأجهزة.

TKDS LMS بيحدّد كام جهاز يقدروا يكونوا داخلين على نفس الحساب في نفس الوقت، وبيخليك تظبط الحد ده بتلات طرق مع بعض:

تسجيلات البوتات، وتجريب بيانات الدخول المسروقة، والسبام من فورم التواصل — دي الهجمات المملة المستمرة. TKDS LMS بيحمي خمس فورمات — الدخول والتسجيل واسترجاع الباسورد والتواصل والشكاوى — وراء مفتاح رئيسي واحد، مع اختيار المزوّد:

الحسابات بتتحقق من باسورد مُجزَّأ بـ bcrypt وبتاخد توكن Laravel Sanctum، قابل للإلغاء لكل جهاز. واسترجاع الباسورد بيستخدم لينك يُستخدم مرة واحدة وله وقت انتهاء، والتوكنات المنتهية بتتمسح أوتوماتيك بدل ما تتكدّس.

وفوق ده، تلات بوابات قبول ممكن تتشغّل لكل تنصيب:

بيانات الكارت بتروح للبوابة مباشرة — Stripe أو PayPal أو فوترة أو تابي أو تمارا. ولا حاجة متعلقة بالكارت بتتخزن أو تتسجّل أو تعدّي علينا، وده بيسيب عبء PCI في مكانه الصح.

ردود البوابات بتتحقق على السيرفر قبل ما تتصدّق، فما ينفعش رد مزوّر يعلّم أوردر إنه مدفوع.

الأسعار دايمًا بتتحسب من قاعدة البيانات وقت الدفع. حمولة عميل متلاعب بيها ما تقدرش تغيّر تمن الأوردر — بما في ذلك الدفع الجزئي بالمحفظة، حيث السيرفر بيقرّر الرصيد المستخدَم والباقي على الكارت، والتقسيط، حيث كل تحصيل بيتسجّل لوحده.

التحويل البنكي الأوفلاين بيطلب رفع إيصال وموافقة صريحة من الأدمن قبل منح الصلاحية، مع سبب رفض ومسار إعادة رفع بدل ما يبقى طريق مسدود.

الرفع بيعدّي على نقطة وسائط محمية للفريق. الصور بتتعاد ترميزها على السيرفر — تصغير لـ ≤1600 بكسل وضغط لسقف صارم 500 كيلوبايت — وده بيوحّد كل ملف ويشيل المفاجآت اللي بتيجي مع قبول ملفات ثنائية عشوائية.

المدرّسون بيشوفوا مجلداتهم ورفعهم بس في مكتبة الوسائط؛ وإدارة ملفات الأدمن وراها صلاحية وحدة منفصلة.

المحادثات الفردية محكومة بقاعدة علاقة صريحة — متابعة في أي اتجاه، أو مدرّس وطالب مشترك في كورسه. ما ينفعش تكلّم شخص غريب. ولما الدفع اللحظي يتفعّل، قناة الويب سوكيت خاصة ومصرَّح بها لكل محادثة.

الحصص المباشرة بتشتغل على TKDS MEETING مستضاف ذاتيًا على دومينك. مفيش مزوّد اجتماعات خارجي واقف بينك وبين طلابك، والدخول للغرفة بيتصرّح لكل انضمام — وده نفسه اللي بيولّد سجل الحضور.

الأكاديمية بتملك بياناتها. الطلبة والطلبات والاشتراكات والدرجات والشهادات والتحليلات كلها بتتصدّر CSV من لوحة الأدمن في أي وقت. مفيش بند تعاقدي بيحتجز محتواك، ومفيش رسوم تصدير.

ما بنبيعش ولا بنأجّر ولا بنشارك بيانات الطلبة، وما بنستخدمهاش في تدريب نماذج.

أكواد التحليلات والتسويق (GA4 و Google Tag Manager و Meta Pixel وأكواد مخصصة) اختيارية لكل تنصيب ويتحكم فيها أدمن الأكاديمية — ولا حاجة بتتحقن افتراضيًا. والتسويق بالإيميل محكوم بإعداد SMTP وساكت لحد ما المشغّل يظبط سيرفر بريد، فمفيش رسالة بتخرج باسمنا.

ولأن كل فيتشر مفتاح مقفول افتراضيًا، الإمكانية اللي مش بتستخدمها ما بتشحنش مسارات ولا عناصر منيو ولا سطح هجوم.

أسرار الإعداد بتتقرا عبر طبقة الـ config، مش من البيئة وقت التشغيل. والفرق ده أهم مما يبان: القراءة المباشرة من البيئة بترجّع فاضي بمجرد ما بناء الإنتاج يخزّن إعداداته — وضابط أمان بيفشل مفتوحًا في صمت أسوأ من إنه مايكونش موجود. وقعنا في الباج ده بالظبط، وصلّحناه، وعندنا دلوقتي اختبار بيفشل لو رجع.

كل إصدار بيتشحن مع مجموعة اختبارات آلية للباك إند. والسلوك المتعلق بالأمان — نطاق الصلاحيات، وطرد الأجهزة، وسحب الاستحقاقات، والتسعير المحصَّن — ليه اختبارات صريحة مش فحص يدوي عابر.

الوحدات المدفوعة الإضافية بيتفحص استحقاقها باستمرار. لو الرخصة اتسحبت الوحدة بتتشال من التنصيب — دفع فوري مع سحب مجدول كشبكة أمان — مع الحفاظ على جداولها في قاعدة البيانات، فاسترجاع الرخصة بيرجّع البيانات كاملة.

القايمة دي متعمدة. اطلب من أي مورّد قايمته وشوف هيعمل إيه.

لقيت حاجة؟ ابعت على security@tkdsmena.com بتفاصيل كفاية لإعادة إنتاجها، وادينا فترة معقولة قبل الإفصاح العلني.

بنأكد الاستلام خلال يومي عمل، ونقولك لقينا إيه، ونبلّغك لما الإصلاح ينزل. مفيش برنامج مكافآت مدفوع لسه، بس بنذكر المبلّغين اللي عايزين الذِكر.

من فضلك ما تشغّلش سكانرات آلية على أكاديمية عميل شغّالة، وما تدخلش أو تعدّل أو تسحب بيانات مش بتاعتك. جرّب على تنصيبك انت.