بيانات العملاء مخزنة في قاعدة بيانات مخصصة - لا تتم مشاركة البيانات بين العملاء.
تطبق قواعد تقييد الوصول إلى البيانات العزل التام بين قواعد بيانات العميل التي تجري في نفس المجموعة. لا يمكن الوصول من قاعدة بيانات إلى قاعدة بيانات أخرى.

كلمات مرور العملاء محمية باستخدام التشفير المتوافق مع المعايير PBKDF2+SHA512 (معالجة مملحة ومطولة لآلاف الجولات). لا يملك موظفو آيروم صلاحية الوصول إلى كلمة المرور الخاصة بك، ولا يمكنهم استرجاعها. في حال فقدانها، الخيار الوحيد أمامك هو إعادة تعيينها.

يتم نقل بيانات اعتماد تسجيل الدخول بأمان دائمًا عبر HTTPS. يتمتع مدراء قواعد بيانات العملاء بخيار تهيئة عدد المحاولات المسموح بها ومدة الانتظار لمحاولات تسجيل الدخول المتكررة.

سياسات كلمات المرور: لدى مدراء قواعد البيانات إعداد في النظام لتطبيق قاعدة الحد الأدنى لطول كلمة المرور. سياسات كلمات المرور الأخرى، مثل فئات الرموز المطلوبة، غير مدعومة بشكل افتراضي لأنها قد تؤدي إلى نتائج عكسية. يمكن الاطلاع على ذلك في [Shay وآخرين، 2016] بالإضافة إلى NIST SP 800-63b.

قد يقوم موظفو مكتب المساعدة في آيروم بتسجيل الدخول إلى حسابك للوصول إلى الإعدادات المتعلقة بمشكلة الدعم التي تواجهها. للقيام بذلك، يستخدمون بيانات اعتماد الموظف الخاصة بهم، وليس كلمة المرور الخاصة بك (التي لن يتمكنوا من معرفتها أبداً).

يحسّن الوصول الخاص للموظفين الكفاءة والأمان: يمكنهم محاكاة المشكلة التي تواجهها فوراً، دون الحاجة إلى مشاركة كلمة المرور الخاصة بك، ويمكننا التدقيق والتحكم في الإجراءات التي يقوم بها الموظفون بشكل منفصل.

يهدف موظفو الدعم لدينا إلى احترام خصوصيتك إلى أقصى حد ممكن، ويصلون فقط إلى الملفات والإعدادات الضرورية لتشخيص وحل مشكلتك.

تعمل كافة خوادم آيروم السحابية باستخدام توزيعات Linux المحصنة، مع أحدث التحديثات الأمنية. عمليات التثبيت مخصصة ومحدودة، لتقييد عدد الخدمات التي قد تحتوي على ثغرات أمنية (مثل عدم وجود مكدس PHP/MySQL).

فقط القليل من مهندسي آيروم الموثوقين لديهم الإذن لإدارة الخوادم عن بعد، ويتم السماح بالوصول فقط باستخدام مفتاح SSH شخصي مشفر، ومن جهاز حاسوب يحتوي على تشفير كامل للقرص.

لا نقوم تحت أي ظرف من الظروف بتخزين معلومات بطاقتك الائتمانية في نظامنا. يتم نقل معلومات بطاقتك الائتمانية بأمان دائمًا، مباشرة بينك وبين بوابات الدفع المعتمدة التي تتبع معايير أمان صناعة بطاقات الدفع (PCI).

يتم تحويل بيانات العميل وتخزينها دائماً في استمارة مشفرة (التشفير في وضع النقل و وضع الراحة).

كافة البيانات المرسلة إلى مثيلات العميل محمية بواسطة تشفير (HTTPS) SSL state-of-the-art 256-bit.
ركافة البيانات الداخلية المرسلة بين خوادمنا محمية أيضاً بواسطة تشفير state-of-the-art (SSH).
تخضع خوادمنا للمراقبة الأمنية المشددة، ويتم تحديثها دائماً للتصدي لأحدث المخاطر الأمنية لـ SSL، لتتمتع بـ أفضل تقييمات SSL في كل الأوقات.
كافة شهادات SSL تستخدم معامل 2048-bit متين، مع سلاسل شهادات SHA-2 كاملة.
كافة بيانات العملاء (محتويات قواعد البيانات والملفات المخزنة) مشفرة في الإنتاج وفي ملفات النسخ الاحتياطي (AES-128 or AES-256)

يتبع فريق البحث والتطوير في آيروم خطوات لمراجعة الكود، تشمل فحص العوامل الأمنية، للأكواد الجديدة والمساهمات التي تُقدم.

آيروم مصمم لمنع حدوث معظم الثغرات الأمنية الشائعة:
تُمنع عمليات حقن SQL باستخدام واجهة برمجية ذات مستوى أعلى، مما يلغي الحاجة إلى استخدام استعلامات SQL يدوية.
يتم التصدي لهجمات البرمجة العابرة للمواقع (XSS) عن طريق استخدام نظام قوالب عالي المستوى، والذي يقوم تلقائياً بتجنب البيانات المحقونة.
يمنع إطار العمل نداء الإجراء البعيد (RPC) من الوصول إلى الطرق الخاصة، مما يصعب من استغلال الثغرات الأمنية.
لضمان الأمان، راجع آيروم قائمة OWASP لأكبر الثغرات الأمنية وطور النظام من الأساس لمنع ظهورها.

هذا هو موقف آيروم فيما يتعلق بمشكلة الأمان الأولى لتطبيقات الويب، كما هو موضح في مشروع أمن تطبيقات الويب المفتوح (OWASP):
عيوب الحقن: مثل حقن SQL، تحدث عند إرسال بيانات من المستخدم إلى المترجم كجزء من الأمر أو الاستعلام. يعتمد آيروم على إطار عمل ORM، الذي يمنع عمليات حقن SQL بشكل افتراضي، حيث يتم إنشاء الاستعلامات تلقائيًا دون الحاجة لكتابة SQL يدويًا.
البرمجة العابرة للمواقع (XSS): تحدث عندما يأخذ التطبيق بيانات من المستخدم ويعيدها إلى المتصفح دون تحقق أو ترميز. يستخدم آيروم نظام قوالب يزيل أي تعبيرات غير آمنة، مما يمنع XSS. يجب على المطورين تحديد التعبيرات كـ "آمنة" إذا كانت تحتاج إلى تضمينها دون ترميز.
تزوير الطلب عبر المواقع (CSRF): يجبر متصفح المستخدم على إرسال طلب HTTP مزور. آيروم يتضمن آلية حماية من CSRF، تمنع الطلبات المزورة من الوصول إلى النظام.
تنفيذ الملفات الخبيثة: آيروم لا يكشف عن وظائف لتضمين الملفات عن بعد، ويستخدم بيئة معزولة لتقييم التعبيرات المخصصة التي قد يضيفها المستخدمون ذوي الصلاحيات.
مرجع الكائن المباشر غير الآمن: يحدث عندما يكشف التطبيق عن مراجع للأشياء الداخلية. نظام تقييد الوصول في آيروم يعمل على مستوى البيانات، مما يمنع التحايل على الحماية حتى عند الوصول إلى المراجع بشكل مباشر.
التخزين غير الآمن المشفر برموز: يستخدم آيروم تشفير PBKDF2 + SHA-512 لحماية كلمات المرور، ويمكنه استخدام أنظمة المصادقة الخارجية لتجنب تخزين كلمات المرور محليًا.
الاتصالات غير الآمنة: آيروم يعمل على HTTPS افتراضيًا، ويوصى باستخدام خادم ويب مثل Apache أو nginx لتطبيق التشفير.
الفشل في تقييد وصول URL: نظام تقييد الوصول في آيروم لا يعتمد على إخفاء الروابط، حيث يجب أن يمر كل طلب عبر طبقة تصديق الوصول.

إذا كنت ترغب في الإبلاغ عن ثغرة أمنية، يمكنك زيارة صفحة الإفصاح المسؤول الخاصة بآيروم. يتم التعامل مع هذه التقارير كأولوية عليا من قبل فريق الأمن، ويتم التنسيق مع الشخص المبلغ لمعالجة المشكلة والإبلاغ عنها بشكل مسؤول للمستخدمين والعملاء.