الأمان والخصوصية

الخصوصية

تعمل Developer Assistance Tools بالكامل في المتصفح. لا يوجد خادم خلفي ولا حساب ولا مخزن لبيانات المستخدمين؛ فكل أداة تؤدي عملها على جهازك، ولا يغادر المتصفحَ أيُّ مُدخل تعالجه الأدوات. وهو موقع ثابت منشور على Cloudflare Pages.

إحصاءات الاستخدام. تحتسب النسخة المتاحة عبر الإنترنت على celesbox.com عدد مشاهدات الصفحات دون الكشف عن هوية الزائر باستخدام Cloudflare Web Analytics. لا تضع ملفات تعريف الارتباط (cookies) ولا تجمع أي بيانات شخصية، فهي ترصد الصفحة التي فُتحت (أي الأداة المستخدمة) والموقع المُحيل والدولة ونوع المتصفح وأزمنة تحميل الصفحة فقط، ولا ترصد أبدًا ما تكتبه أو تلصقه أو تفتحه داخل أي أداة. أما الحزمة غير المتصلة بالإنترنت وصورة الحاوية وكل نسخة مستضافة ذاتيًا فلا تتضمن أي تحليلات أو تتبع إطلاقًا، وترفض صفحاتها كل طلب موجَّه إلى أي خادم آخر.

وسائل الحماية

• Content-Security-Policy. تستخدم الصفحات default-src 'self' وconnect-src 'self' مع بقية توجيهات الجلب، فلا تستطيع أداة معيبة أو مكتبة تتصل بجهات خارجية أن ترسل طلبات إلى مضيف آخر عبر fetch أو XMLHttpRequest أو WebSocket أو EventSource أو sendBeacon أو الصور أو الخطوط أو الوسائط أو الإطارات أو إرسال النماذج. والاستثناء الوحيد هو الموقع المتاح عبر الإنترنت على celesbox.com، إذ تسمح سياسته أيضًا بنص Cloudflare Web Analytics وعنوان إرسال تقاريره؛ أما إصدارات الاستخدام دون اتصال والاستضافة الذاتية فلا تسمح بذلك.
• حارس الخروج وقت التشغيل. طبقة ثانية (js/core/egress-guard.js) ترفض واجهات الطلبات هذه، إضافة إلى WebRTC وWebTransport، داخل الصفحة نفسها.
• العزل. تعمل الشيفرة التي تكتبها في JS Playground وHTML Viewer داخل iframes معزولة ذات أصل معتم (opaque origin). ويمر HTML وMarkdown المعروضان عبر DOMPurify.
• السلامة. ينشر كل بناء بيانًا بتجزئات SHA-256 لملفاته (offline-manifest.json)، وتحمل الحزمة المستضافة ذاتيًا الملف SHA256SUMS.

تُفرض وسائل الحماية هذه في الشيفرة ويتحقق منها اختبار المشروع.

الحدود والمخاطر المتبقية

لا يدّعي المشروع أنه غير قابل للاختراق. وتذكر سياسة الأمان هذه المخاطر المتبقية:

• تعمل معظم الصفحات بسياسة CSP صارمة: سكربتات من هذا الأصل فقط، ولا سكربت مضمّن ولا eval. ويُبقي Notepad على eval لفحص صياغة JavaScript، وهو يترجم نصك دون تشغيله. وتُبقي ثلاثة مواضع على 'unsafe-inline' و'unsafe-eval' لأنها لا تعمل بدونهما: draw.io وJavaScript Playground وHTML Viewer. وقد تتيح ثغرة برمجة عبر المواقع (XSS) في إحدى هذه الصفحات تشغيل شيفرة في الصفحة، ولأن الأدوات تتشارك أصلًا واحدًا فقد تقرأ التخزين المحلي وIndexedDB لذلك الأصل.
• توقف CSP وحارس الخروج واجهات الطلبات، لا التنقل. فقد تُرسل شيفرة تعمل أصلًا في هذا الأصل بيانات إلى الخارج بنقل التبويب، أو بفتح نافذة، إلى موقع آخر مع وضع البيانات في العنوان. ولا يوفر أي متصفح سياسة تمنع ذلك.
• العمال في الخلفية (محرك SQL ومفكك JAR ومختبر التعابير النمطية) سكربتات من هذا الأصل تُقدَّم بلا CSP خاصة بها؛ ولا تشغّل إلا شيفرة الموقع ومكتباته المضمّنة.
• قد تحمل المكتبات المضمّنة ثغراتها الخاصة. وهي مثبَّتة الإصدار ومدرجة في THIRD-PARTY-NOTICES.txt.

يُوصى بإجراء اختبار اختراق مستقل قبل الاعتماد على هذا البرنامج في بيئة تتطلب ضمانات عالية.

النسخ المستضافة ذاتيًا

ترسل الصورة المستضافة ذاتيًا ترويسات الأمان نفسها التي يرسلها الموقع العام، ولا تخزّن شيئًا على الخادم، ولا تتضمن أي تحليلات، ولا تحتاج إلى وصول شبكي صادر. راجع الاستضافة الذاتية.

الإبلاغ عن ثغرة

أبلغ عن المشكلات الأمنية بسرية عبر البريد الإلكتروني security@celesbox.com. أرفق خطوات إعادة الإنتاج والأداة أو الملف المتأثر والأثر. يهدف المشروع إلى الإقرار باستلام البلاغ خلال بضعة أيام عمل، ويطلب مهلة معقولة لإصلاح المشكلة قبل الإفصاح عنها علنًا.