الأمن والخصوصية — المرحلة 4
#تعريف المرحلة
- اسم المرحلة: Messenger + الصوت/الفيديو + المجموعات/المجتمعات
- الأولوية: متوسطة إلى عالية — التواصل الفوري والمجتمعات
- المدة التقديرية: الشهور 11–14 (16 أسبوعًا)
- هدف المرحلة: إطلاق تطبيق مراسلة مستقل ومحادثات موثوقة ومكالمات صوت/فيديو ومجموعات ومجتمعات آمنة وقابلة للتوسع.
- بوابة الخروج: Messenger مستقر مع مزامنة متعددة الأجهزة، جودة مكالمات مقبولة وعمليات سلامة وتشغيل واضحة.
#التفاصيل
- قرار E2EE موثق يحدد التهديدات والمحادثات المشمولة وإدارة المفاتيح والنسخ الاحتياطي والتحقق من الأجهزة.
- TLS وWSS وDTLS-SRTP للمكالمات، tokens قصيرة العمر وTURN credentials مؤقتة.
- منع spam/flood عبر rate limits وreputation ودعوات مقيدة وحظر فوري متزامن.
- فحص المرفقات وعزل preview ومنع metadata leakage وروابط phishing قدر الإمكان.
- اختبارات بروتوكول ومصادقة WebSocket وauthorization للأحداث وعدم الثقة بمعرّف client.
#ضوابط التنفيذ
- الأمن بوابة إصدار مستمرة وليس فحصًا أخيرًا.
- لا تُسجل كلمات مرور أو رموز أو محتوى خاص في logs/analytics.
#آلية العمل والتتبع
- تحويل البنود إلى Epics وStories لها مالك ومعيار قبول واعتماديات.
- مراجعة أسبوعية للتقدم والمخاطر والقرارات والتغييرات، وتحديث الوثائق مع الكود.
- عرض دوري على العميل في بيئة مشتركة، ثم توثيق الملاحظات وقرار القبول أو الإرجاع.
- منع إغلاق أي بند دون اختبار وأثر موثقين حسب طبيعته.
#أدلة الإنجاز المطلوبة
- Threat model، scan/pen-test reports، remediation evidence وrisk acceptance.
- نسخة مرقمة بتاريخ التسليم ومذكور فيها البيئة والإصدار.
- ربط العيوب أو الاستثناءات المفتوحة بمالك وموعد مستهدف.
#الاعتماديات والانتقال
- قبل البدء: إغلاق بوابة قبول المرحلة 3 أو توثيق استثناء رسمي.
- بعد الإنجاز: توفير مدخلات مستقرة للمرحلة 5 دون نقل دين حرج غير معلن.
#المسؤوليات
- مالك المنتج: اعتماد الأولوية والسلوك ومعايير القبول.
- القائد التقني: اعتماد التصميم الفني والمخاطر وقابلية التشغيل.
- الجودة والأمن: تقديم أدلة الاختبار وعدم وجود موانع إصدار.
- العميل: توفير القرارات والحسابات والمحتوى والموافقات في المواعيد المتفق عليها.