مركز الأمن

• •تسجيل دخول بالبريد الإلكتروني و Google OAuth.
• •جلسات مُدارة عبر مزوّد المصادقة (Supabase Auth).
• •حماية كلمات المرور المسرّبة (Have I Been Pwned).
• •إعادة توجيه OAuth تُقيّد إلى نفس المصدر (origin).

• •أدوار: owner, admin, compliance_manager, analyst, viewer, platform_admin.
• •تحقّق الأدوار عبر جدول user_roles ودالة has_role.
• •منع رفع الامتيازات: تعديل الأدوار يعبر trigger مخصّص.
• •منع الدعوة كمالك من قِبَل غير المالكين.

• •كل جدول للأعمال مربوط بـ organization_id.
• •سياسات RLS تُطبّق على كل الجداول الحساسة.
• •سياسة RESTRICTIVE مبنية على org_has_access تربط الوصول باشتراك ساري.
• •لا يوجد مسار يتخطى RLS في مسار العميل — فقط مهام معتمدة داخل الخادم.

• •audit_logs يلتقط قبل/بعد التغييرات على الجداول الحساسة.
• •موافقات سير العمل (wf_approvals) لا تُعدَّل بعد الإصدار.
• •أحداث SLA وتصعيدها تُسجَّل تلقائياً.

• •تجميد المعمارية وقاعدة الأمن — لا تعديل على المكوّنات المعتمدة إلا عند الضرورة القصوى.
• •مراجعة أمنية لكل إصدار (v1.1، v1.2، v1.3، v1.3.1).
• •دوال SECURITY DEFINER مع search_path=public وسحب صلاحية anon.
• •فحص تبعيات دوري و مراجعة يدوية لسياسات RLS.

الإبلاغات تُعالج داخلياً وفق أولوية الأثر. راجع صفحة الإبلاغ المسؤول.