مفاتيحك تعادل توقيعك الضريبي

من يملك مفاتيح JoFotara الخاصة بك يستطيع إصدار فواتير على ذمّة منشأتك. نتعامل معها على هذا الأساس تماماً — وهذه تفاصيل كيف، دون عموميات تسويقية.

AES-256-GCMتشفير مفاتيح الربط عند التخزين

TLSفي كل اتجاه، مع تحقّق من الشهادة

SHA-256هاش مفاتيح API — لا نملك الأصل

48 ساعةتأكيد استلام بلاغ ثغرة

طبقات الحماية

ما يحدث لبياناتك فعلياً

من لحظة إدخال المفتاح حتى تخزين الفاتورة المعتمدة. كل بند أدناه قابل للتحقّق من سلوك المنصة نفسها، لا وعد عام.

سياسة الخصوصية

تشفير مفاتيح الربط: مفاتيح JoFotara تُخزَّن مشفّرة بـ AES-256-GCM بمفتاح يعيش خارج قاعدة البيانات. تُفكّ وقت الإرسال فقط، ولا تُعرض مرة أخرى بعد حفظها.
تشفير النقل: اتصالات TLS مشفّرة بينك وبيننا، وبيننا وبين النظام الحكومي، مع تحقّق كامل من الشهادة. الطلبات غير المشفّرة مرفوضة على مستوى الخادم.
عزل بين المنشآت: بيانات كل منشأة ومفاتيحها معزولة منطقياً. لا يستطيع مفتاح واحد الوصول إلى فواتير منشأة أخرى بأي حال — حتى داخل الحساب نفسه.
تخزين مفاتيح API: نحفظ هاش SHA-256 للمفتاح فقط. لا نستطيع استرجاعه لك لأننا لا نملكه أصلاً بعد لحظة إنشائه — يُعرض مرة واحدة ثم يختفي.
كلمات المرور: تُخزَّن بخوارزمية هاش بطيئة بملح فريد لكل حساب، غير قابلة للعكس. لا نراها ولا نستطيع إرسالها إليك.
صلاحيات وأدوار: محاسب يُدخل، مدير يعتمد، مدقّق يقرأ فقط. كل دور يرى ما يخصّه — متاح من خطة النمو فما فوق.
سجل تدقيق غير قابل للتعديل: لكل فاتورة: ملف UBL المُرسل، رد الدائرة الكامل، الطابع الزمني، والمستخدم أو المفتاح المستخدم. لا يملك أحد — نحن ضمناً — صلاحية تعديله.
حدود معدّل لكل مفتاح: سقف طلبات لكل مفتاح على حدة يمنع إساءة الاستخدام والإغراق، ويحمي حصّتك من استهلاك غير مقصود. تفاصيل الحدود.

ممارسات تشغيلية

ما نفعله يومياً

الأسرار تُقرأ من متغيرات البيئة — لا تُخزَّن في الشيفرة المصدرية
مفاتيح الربط لا تُكتب في السجلات ولا تظهر في أي استجابة API
حدود معدّل على كل مفتاح لمنع إساءة الاستخدام والإغراق
حماية النماذج من التزوير عبر رموز CSRF وفخاخ السبام
نسخ احتياطية مشفّرة مع اختبار استرجاع دوري
تحديثات أمنية للتبعيات ومراجعة شيفرة قبل كل إصدار

ما لا نطلبه منك أبداً لن نطلب منك مفاتيح JoFotara عبر البريد أو واتساب أو الهاتف. تُدخلها بنفسك داخل حسابك على اتصال مشفّر — فقط. أي رسالة تطلب منك ذلك باسمنا فهي احتيال، أبلغنا عنها فوراً.

إن فقدت السيطرة على مفتاح

أبطل المفتاح فوراً من لوحة التحكم — يتوقف العمل به لحظياً.
أنشئ مفتاحاً بديلاً وحدّثه في نظامك.
راجع سجل التدقيق لمعرفة ما أُرسل به.
إن كان مفتاح JoFotara نفسه، جدّده من بوابة الدائرة ثم حدّثه لدينا.

الامتثال

المعايير التي نعمل وفقها

نفرّق بوضوح بين ما نلتزم به فعلياً اليوم وما هو هدف على خارطة الطريق. لا ندّعي شهادة لم نحصل عليها.

حالة تطبيق معايير الأمان والامتثال في فواترا
المعيار	الحالة	ماذا يعني عملياً
مواصفة JoFotara / UBL 2.1	مطبَّق	نولّد فواتير مطابقة للمواصفة المنشورة ونحدّثها مع كل تعديل رسمي.
تشفير النقل (TLS 1.2+)	مطبَّق	كل الاتصالات مشفّرة، والطلبات غير المشفّرة مرفوضة.
تشفير الأسرار عند التخزين	مطبَّق	AES-256-GCM لمفاتيح الربط، وهاش غير قابل للعكس لكلمات المرور ومفاتيح API.
مبادئ حماية البيانات (GDPR)	متوائم	تقليل البيانات، مدد احتفاظ معلنة، وحقوق وصول وحذف — راجع سياسة الخصوصية.
شهادة ISO 27001	على خارطة الطريق	نطبّق ضوابط متوافقة معها، لكننا لم نُدقَّق بعد من جهة مانحة مستقلة. لا ندّعي الحصول عليها.
استضافة داخل الأردن	عند الطلب	متاحة ضمن خطة المؤسسات لمن لديه متطلب تنظيمي بذلك.

الإفصاح المسؤول

وجدت ثغرة؟ أخبرنا

نرحّب ببلاغات الباحثين الأمنيين ونتعامل معها بجدية. أرسل التفاصيل وخطوات إعادة الإنتاج إلى info@codexal.co ونؤكّد الاستلام خلال 48 ساعة عمل.

نطلب منك: عدم الوصول لبيانات مستخدمين حقيقيين، وعدم تعطيل الخدمة، ومنحنا مهلة معقولة للإصلاح قبل النشر.
نلتزم لك: بالرد السريع، وبعدم اتخاذ أي إجراء قانوني ضد بحث بحسن نية ضمن هذه الحدود.
نقدّر لك: ذكرك في صفحة الشكر إن رغبت، وتقديراً مادياً للثغرات عالية الخطورة.

سياسة الخصوصيةما نجمعه، لماذا، كم نحتفظ به، وحقوقك عليه. الشروط والأحكامحدود المسؤولية ومسؤوليتك عن صحة بيانات الفاتورة. ملحق معالجة البياناتالتدابير الأمنية التعاقدية والمعالِجون الفرعيون. الإفصاح عن الثغراتحدود الاختبار الأمني المقبول وكيف تُبلغ. حدود المعدّلسقف الطلبات لكل مفتاح وسلوك رمز 429. دليل JoFotaraمن أين تحصل على مفاتيح الربط وكيف تجدّدها.