كيف تعمل الروابط السرية في LinkPilot

1. نظرة عامة

يشغّل LinkPilot مسارين منفصلين للروابط على المنصة نفسها: الروابط الذكية، وهي روابط مختصرة بنطاقك الخاص مع إحصاءات النقرات، والروابط السرية لتسليم المحتوى الحساس مرة واحدة بصلاحية محدودة وبحماية عبارة مرور. ونفصل بينهما على مستوى البيانات ومسارات الشيفرة والمنتج، فلا يمكن أن يتسرب محتوى الأسرار إلى لوحات الإحصاءات أو إلى تصدير مجموعات البيانات أو إلى ميزات الذكاء الاصطناعي.

تتناول هذه الصفحة مسار الروابط السرية تحديدًا: كيف يُنشأ السر، وكيف يُظهَر، وما يحدث بعد مشاهدته، وما البيانات الوصفية التي تُسجَّل في كل خطوة.

2. كيف تعمل الروابط السرية

1. ينشئ المرسل السر، وله أن يضيف عبارة مرور ومدة صلاحية وحدًا لعدد المشاهدات يُحذف السر بعده نهائيًا.
2. يشفّر متصفح المرسل المحتوى قبل إرسال أي شيء. وما يصل إلينا نص مشفر يُكتب في جدول مخصص هو secret_links، معزول عن جداول إحصاءات النقرات.
3. يعيد LinkPilot رابطًا مختصرًا (مثل shrd.link/s/<slug>#k=<key>) لترسله إلى المستلم. والجزء الذي يلي علامة # هو مفتاح فك التشفير، ويُولَّد في متصفح المرسل ولا يُرسل إلينا أبدًا، فلا نستطيع إعادة إنشاء هذا الرابط لاحقًا.
4. عندما يفتح المستلم الرابط، يستدعي التطبيق دالة الحافة secret-reveal. يعيد طلب GET البيانات الوصفية فقط (الحالة، وهل تلزم عبارة مرور)، أما النص المشفر فلا يعيده إلا طلب POST يحمل عبارة المرور. ثم يفك متصفح المستلم تشفيره بالمفتاح الموجود في آخر الرابط. ودالة الإظهار نفسها لا تفك تشفير أي شيء، ولا تستطيع ذلك لو أرادت.
5. يُسجَّل الإظهار الناجح في عملية ذرية واحدة، وقد تتغير حالة السر فورًا إلى burned بحسب إعداد الحذف بعد عدد المشاهدات.

3. نموذج التشفير

نريد الدقة هنا، لأن كلمتي «مشفر» و«المعرفة الصفرية» كثيرًا ما تُستخدمان بتساهل.

• أثناء النقل: كل حركة البيانات مشفرة ببروتوكول TLS من طرف إلى طرف بين المستلم وخوادم الحافة لدينا وقاعدة بياناتنا المُدارة.
• في متصفحك، قبل النقل: منذ 29 سبتمبر 2026 يُشفَّر المحتوى على جهاز المستخدم بخوارزمية AES-GCM-256 بمفتاح طوله 256 بت يُولَّد في متصفحك. نخزن النص المشفر ولا شيء غيره. وينتقل المفتاح في جزء رابط المشاركة الذي يلي علامة #، والمتصفحات لا ترسل هذا الجزء إلى أي خادم، لا إلينا ولا إلى Cloudflare التي تقدّم صفحة الإظهار.
• أثناء التخزين: يُحفظ النص المشفر في عمود مفصول منطقيًا عن بيانات الإحصاءات، على نسخة Postgres مُدارة مشفرة أيضًا على مستوى القرص.
• عبارات المرور: عندما تضع عبارة مرور، تُحوَّل إلى صيغة Unicode قياسية (NFKC)، فتعطي العبارة نفسها المفتاح نفسه ولو كُتبت بلوحة مفاتيح أو طريقة إدخال مختلفة. ثم تُقوّى بخوارزمية PBKDF2-SHA256 (210,000 تكرار) وتُدمج مع مفتاح الرابط عبر HKDF-SHA256، فلا يكفي الرابط وحده ولا عبارة المرور وحدها لفك تشفير السر. وإلى جانب ذلك تُرسل تجزئة SHA-256 لعبارة المرور، ليتمكن الخادم من رفض إعادة النص المشفر أصلًا لمن لا يعرفها. ولا تُكتب عبارة المرور بنصها الأصلي في قاعدة بياناتنا ولا في سجلاتنا أبدًا.
• ما يحميه هذا وما لا يحميه: يُخرجنا هذا التصميم، ومعنا قاعدة بياناتنا وخوادم الحافة، من دائرة الثقة. لكنه لا يحمي سرًا أُعيد إرسال رابطه كاملًا، أو التُقطت له صورة شاشة، أو سجّله شيء ما على جهة المستلم، لأن الرابط يحمل المفتاح.
• الاستثناءان، بوضوح: الأسرار المنشأة قبل 29 سبتمبر 2026 مخزنة نصًا غير مشفر. لا نعيد كتابتها في الخفاء، وتبقى تعمل كما كانت تمامًا، وتختفي مع انتهاء صلاحيتها. والمرفقات تُشفَّر في المتصفح أيضًا بمفتاح مشتق من مفتاح السر نفسه، فيفتح رابط واحد الاثنين معًا ولا نملك مفتاحًا لأي منهما. لكننا ما زلنا نرى اسم الملف وحجمه ونوعه، فهذه أعمدة بيانات وصفية وليست محتوى. أما المرفقات المرفوعة قبل 29 سبتمبر 2026 فما زالت مخزنة ملفات غير مشفرة.

والنتيجة العملية تستحق التوضيح: لأننا لا نملك المفتاح أبدًا، لا نستطيع استرجاع سر لك. وإذا ضاع رابط المشاركة، ضاع المحتوى معه.

تحقق بنفسك. لا تحتاج إلى أن تأخذ التشفير في المتصفح على الثقة. شيفرة التشفير نفسها موجودة في مستودع linkpilot-cli مفتوح المصدر (بترخيص MIT)، وفيه CLI و SDK للغة TypeScript وخادم MCP. ويضم المستودع متجهات الاختبار التي يُفحص بها تطبيق الويب، فتستطيع قراءة طريقة اشتقاق المفتاح وتشغيل المتجهات والتأكد من أن ما يغادر الجهاز نص مشفر وأن المفتاح لا يذهب إلا إلى آخر الرابط بعد علامة #. وإذا وجدت فرقًا بين تلك الشيفرة وهذه الصفحة، أبلغنا به.

4. ما يحدث بعد مشاهدة السر

• تُسجَّل المشاهدة في عملية ذرية عبر دالة في قاعدة البيانات، فلا يمكن لمحاولات إظهار متزامنة أن تسرّب السر مرتين.
• إذا بلغ عدد المشاهدات الحد المضبوط، تتغير حالة السر إلى burned ويُكتب [REDACTED] فوق المحتوى المخزن.
• وأي محاولة إظهار بعد ذلك تعيد ردًا واضحًا بأن السر «فُتح سابقًا وحُذف نهائيًا» مع رمز HTTP 410.
• يدوّن سجل التدقيق كل مشاهدة وكل حذف نهائي وكل إبطال مع تجزئة عنوان IP، وهذا يفيد في الاستجابة للحوادث وفي تغيير بيانات الدخول.

5. انتهاء الصلاحية والإبطال

• يمكن أن تحدد لكل سر مدة صلاحية: 1 ساعة أو 24 ساعة أو 7 أيام في أي خطة، أو تاريخًا ووقتًا مخصصين في خطة Pro، مع حد اختياري لعدد المشاهدات.
• تتغير حالة السر المنتهي إلى expired عند أول وصول تالٍ، ويُمحى المحتوى في عملية الكتابة نفسها.
• يستطيع المالك إبطال السر يدويًا في أي وقت من لوحة التحكم. والسر المُبطل يرفض الإظهار فورًا ويعيد رمز HTTP 410.
• بعد أن يُحذف السر نهائيًا أو تنتهي صلاحيته أو يُبطل، لا يمكن استرجاع محتواه عبر المنتج. فلا يوجد إجراء «للتراجع عن الإبطال» ولا «للاستعادة»، وهذا مقصود في التصميم.

6. الحماية بعبارة مرور

• عبارة المرور اختيارية، لكننا ننصح بها لأي سر لا تريد أن يستهلكه شخص عابر يفتح الرابط.
• تُحسب تجزئة SHA-256 لعبارة المرور في المتصفح، وتُرسل عبر TLS، ويقارن الخادم بين التجزئتين. ولا تصل القيمة الأصلية إلى قاعدة بياناتنا أبدًا.
• لا نسمح بأكثر من 5 محاولات لعبارة المرور لكل عنوان IP في الدقيقة لكل سر، ونطبّق هذا الحد بمحدِّد في الذاكرة وبنافذة منزلقة مخزنة في قاعدة البيانات.
• تُكتب كل محاولة فاشلة في سجل التدقيق مع تجزئة عنوان IP، ليرى مالكو مساحة العمل أي نشاط مريب.
• ننصح بإرسال عبارة المرور عبر قناة غير التي ترسل بها الرابط، كأن ترسل الرابط بالبريد الإلكتروني وعبارة المرور برسالة خاصة في Slack أو برسالة SMS.

7. الحماية من فاحصات الروابط وروبوتات المعاينة

فاحصات الأمان في البريد الإلكتروني وأدوات معاينة الروابط في تطبيقات المحادثة (Slack و LinkedIn و iMessage و Outlook) تجلب الروابط عادة بمجرد ظهورها. ومع رابط يُحذف بعد القراءة، كان التصميم الساذج سيعني أن أول معاينة تحذف السر نهائيًا قبل أن يراه المستلم.

ويمنع LinkPilot ذلك بثلاث طرق:

• نقطتا وصول منفصلتان للبيانات الوصفية وللإظهار. طلب GET إلى نقطة الإظهار لا يعيد إلا الحالة وما إذا كانت عبارة المرور مطلوبة. ولا تُسجَّل المشاهدة إلا بطلب إظهار صريح من نوع POST، وهو ما يحدث حين يضغط إنسان زر الإظهار.
• بوابة عبارة المرور. عند ضبط عبارة مرور، لا يُعاد المحتوى لأحد، روبوتًا كان أو إنسانًا، دون التجزئة الصحيحة.
• Cache-Control: no-store في كل رد إظهار، فلا تخزّن الخوادم الوسيطة محتوى الأسرار.

8. البيانات الوصفية التي نسجلها

في كل محاولة إظهار لا نسجل إلا ما يلزم ليحصل مالكو مساحة العمل على سجل تدقيق موثوق:

• وقت المحاولة.
• تجزئة عنوان IP: قيمة SHA-256 لعنوان IP الذي جاء منه الطلب مع ملح يتغير يوميًا، مقتطعة إلى 32 حرفًا. ولا نخزن عنوان IP الأصلي أبدًا.
• موقع جغرافي تقريبي (البلد والمدينة) من خوادم الحافة، إذا وفّره المزود.
• سلسلة User-Agent التي يرسلها المتصفح.
• نوع الحدث: إنشاء، مشاهدة، عبارة مرور خاطئة، حذف نهائي، انتهاء الصلاحية، إبطال.

لا نسجل محتوى السر، ولا عبارة المرور الأصلية، ولا عنوان IP الأصلي، ولا ملفات تعريف الارتباط على جهاز المستلم (فلا توجد أي منها)، ولا أي بكسلات تتبع من جهات خارجية.

9. الفرق بين الروابط السرية وروابط الإحصاءات

يشترك المساران في العلامة التجارية ولوحة التحكم وأدوات إدارة الفريق نفسها، لكن البيانات لا تنتقل من أحدهما إلى الآخر.

10. المرفقات

• تُشفَّر الملفات في المتصفح بمفتاح مشتق من مفتاح السر نفسه، فيفتح رابط واحد النص والملف معًا.
• تُقدَّم عبر روابط موقّعة قصيرة العمر، وتخضع لعبارة المرور وانتهاء الصلاحية والحذف النهائي كما يخضع لها النص.
• يبقى اسم الملف وحجمه ونوعه مرئية لنا بصفتها بيانات وصفية، أما محتواه فلا.
• المرفقات المرفوعة قبل 29 سبتمبر 2026 تبقى مخزنة ملفات غير مشفرة حتى تنتهي صلاحيتها، ولا نعيد كتابتها أبدًا.

11. الاحتفاظ بالبيانات

• نكتب فوق محتوى السر عندما يُحذف نهائيًا أو تنتهي صلاحيته أو يُبطل. لا توجد استعادة، وهذا مقصود، ولا نستطيع استرجاعه لك.
• نحتفظ ببيانات الحساب ما دامت مساحة العمل نشطة، ثم 30 يومًا بعد حذفها، ليمكن التراجع عن الحذف غير المقصود.
• تُجمَّع إحصاءات النقرات على الروابط المختصرة بعد 90 يومًا في أعداد مجهولة الهوية.
• لا تحتفظ أحداث سجل التدقيق إلا بالقيم المجزّأة والمملّحة الموضحة في القسم 8، فلا يوجد عنوان أصلي نحتفظ به.

12. الأسرار بدون حساب وأسرار مساحة العمل

مولّد الروابط السرية المجاني ينشئ أسرارًا بدون حساب. الحذف بعد القراءة مفعّل دائمًا، ومدة الصلاحية 1 ساعة أو 24 ساعة أو 7 أيام، والنموذج محمي بخدمة Turnstile من الإساءة الآلية، والتشفير في المتصفح هو نفسه.

يضيف سر مساحة العمل سجل التدقيق والإبطال من لوحة التحكم والمرفقات، وفي خطة Pro عبارات المرور وتاريخًا ووقتًا مخصصين لانتهاء الصلاحية. ونموذج التشفير واحد في الحالتين.

13. الحدود، بوضوح

• إعادة إرسال الرابط إعادة إرسال للسر. لا شيء في التصميم يمنع المستلم من تمرير الرابط إلى غيره قبل فتحه. وما يخفف ذلك مدة صلاحية قصيرة وعبارة مرور تُرسل عبر قناة ثانية.
• ضياع الرابط ضياع للسر. لا نملك المفتاح أبدًا، فلا يوجد ما نسترجعه.
• استثناء ما قبل 29 سبتمبر. الأسرار المنشأة قبل ذلك التاريخ خُزّنت نصًا غير مشفر حتى انتهت صلاحيتها.
• ليست مفتوحة المصدر ولا تدعم الاستضافة الذاتية. عميل التشفير منشور مع متجهات الاختبار في مستودع CLI بترخيص MIT، أما الخدمة نفسها فمنتج مستضاف. وإذا كانت الاستضافة الذاتية شرطًا عندك، فراجع البدائل مفتوحة المصدر.
• المشاهدة ليست شخصًا. يدوّن السجل متى فُتح السر ومن أين تقريبًا، ولا يدوّن أبدًا من فتحه. وإذا فتحه غير الشخص المقصود، فغيّر بيانات الدخول.

14. الإبلاغ عن ثغرة

يمكن الإبلاغ عن الثغرات الأمنية والروابط المسيئة عبر /report، وتصل البلاغات إلى الفريق مباشرة. وتُرسل طلبات الخصوصية والبيانات إلى privacy@uselinkpilot.com ونرد عليها خلال 30 يومًا، وتبيّن صفحة GDPR ما نعالجه من بيانات وعلى أي أساس.

15. الأسئلة الشائعة