الأمن والخصوصية — المرحلة 3
#تعريف المرحلة
- اسم المرحلة: تطبيقات الهاتف + Reels/Stories/Notifications
- الأولوية: عالية — توسيع الوصول والتفاعل
- المدة التقديرية: الشهور 8–10 (12 أسبوعًا)
- هدف المرحلة: إطلاق تطبيق رئيسي على Android وiOS مع تكافؤ MVP وتجربة فيديو قصيرة وقصص وإشعارات قابلة للضبط.
- بوابة الخروج: إصدارات متاجر جاهزة أو منشورة تدريجيًا، مع خدمات وسائط وإشعارات مستقرة ومقاييس استخدام وسلامة.
#التفاصيل
- فحص الوسائط وعزل المعالجة ومنع تنفيذ codecs غير موثوقة بصلاحيات واسعة.
- حماية signed URLs ومنع enumeration وفرض authorization عند إنشاء الرابط لا عند عرضه فقط.
- تقليل بيانات push payload حتى لا يظهر محتوى حساس على شاشة القفل.
- حماية mobile secrets باعتبار التطبيق بيئة غير موثوقة وعدم تضمين مفاتيح خادم.
- اختبار MASVS وتحقق من التخزين والlogs وscreenshots والclipboard والروابط العميقة.
#ضوابط التنفيذ
- الأمن بوابة إصدار مستمرة وليس فحصًا أخيرًا.
- لا تُسجل كلمات مرور أو رموز أو محتوى خاص في logs/analytics.
#آلية العمل والتتبع
- تحويل البنود إلى Epics وStories لها مالك ومعيار قبول واعتماديات.
- مراجعة أسبوعية للتقدم والمخاطر والقرارات والتغييرات، وتحديث الوثائق مع الكود.
- عرض دوري على العميل في بيئة مشتركة، ثم توثيق الملاحظات وقرار القبول أو الإرجاع.
- منع إغلاق أي بند دون اختبار وأثر موثقين حسب طبيعته.
#أدلة الإنجاز المطلوبة
- Threat model، scan/pen-test reports، remediation evidence وrisk acceptance.
- نسخة مرقمة بتاريخ التسليم ومذكور فيها البيئة والإصدار.
- ربط العيوب أو الاستثناءات المفتوحة بمالك وموعد مستهدف.
#الاعتماديات والانتقال
- قبل البدء: إغلاق بوابة قبول المرحلة 2 أو توثيق استثناء رسمي.
- بعد الإنجاز: توفير مدخلات مستقرة للمرحلة 4 دون نقل دين حرج غير معلن.
#المسؤوليات
- مالك المنتج: اعتماد الأولوية والسلوك ومعايير القبول.
- القائد التقني: اعتماد التصميم الفني والمخاطر وقابلية التشغيل.
- الجودة والأمن: تقديم أدلة الاختبار وعدم وجود موانع إصدار.
- العميل: توفير القرارات والحسابات والمحتوى والموافقات في المواعيد المتفق عليها.