الأمان

قاعدة بيانات واحدة لكل عميل

ذاكرتك ليست صفًا في جدول مشترك يحتوي على عمود للعملاء. كل عميل لديه قاعدة بيانات خاصة به. قاعدة البيانات الخاصة. لا توجد جداول مشتركة ولا استعلامات بين العملاء يمكن أن تخطئ، لأن الحدود هي قاعدة البيانات نفسها وليس مرشحًا يجب على المرء تذكر كتابته.

يتم اختبار ذلك الحد من الخارج في كل إصدار: حسابان حقيقيان، ويتم فحص كل بوابة تُرسل بيانات للتأكد من أن أحدهما لا يستطيع رؤية الآخر. لا يتم إصدار المنتج ما لم يتم استيفاء هذا الشرط.

المفاتيح، ومن يمكنه استخدامها

لا يمكننا إظهار المفتاح الخاص بك.

يتم عرض مفاتيح API عليك مرة واحدة فقط، عند الإنشاء. ما نخزنه هو قيمة SHA-256 — لذا فإن نسخة من قاعدة بياناتنا لا تمنح أي شخص مفتاحًا صالحًا للعمل، ولا يمكننا نحن ولا أي مهاجم قراءة مفتاحك منه. إلغاء المفتاح يصبح ساريًا على الخدمة خلال دقيقة تقريبًا، وفورًا على الجهاز الذي يخدم ذاكرتك.

يمكن تضييق نطاق المفاتيح.

ليس من الضروري أن يكون المفتاح كلي القدرة. يمكن أن تكون المفاتيح… حسب نطاق كل مشروع — القراءة والكتابة، أو القراءة فقط، أو عدم الظهور إطلاقًا — وهذا هو الشكل المناسب للمقاول، أو مهمة من نوع CI، أو العامل ذو الغرض الواحد الذي لا ينبغي أن يقرأ بقية أعمالك. المفتاح الذي تكون نطاقاته تالفة أو غير قابلة للقراءة يُمنع من كل شيء بدلاً من منحه كل شيء.

المصادقة ثنائية العوامل

يمكن لحسابك أن يتطلب عاملاً ثانياً عند تسجيل الدخول، وعند تفعيله يُفرض في كل مرة تسجل فيها الدخول — بعد كلمة المرور وبعد GitHub أو Google على حد سواء — وليس مجرد إعداد يُعرض.

يتطلب إنشاء مفتاح API تسجيل دخول محميًا: المصادقة الثنائية على حسابك، أو تسجيل الدخول عبر GitHub أو Google. كلمة المرور وحدها لا تنشئ مفتاحًا أبدًا — حتى على حساب مرتبط أيضًا بـ GitHub أو Google، لأن المهم هو طريقة تسجيل دخولك هذه المرة.

كل فعل مدمّر — حذف مشروع، أو تحرير السجل، أو حذف الحساب، أو استعادة نسخة احتياطية — يسألك مرة أخرى عن هويتك: كلمة المرور الخاصة بك إن وُجدت، ورمز التحقق الثنائي؛ وبدون التحقق الثنائي، تسجيل دخول عبر GitHub أو Google خلال آخر عشر دقائق. أما تصدير بياناتك فلا يحتاج إلى ذلك مطلقًا.

تسجيل الدخول باستخدام GitHub أو Google

يستخدم تسجيل الدخول عبر GitHub أو Google مسار رمز التفويض القياسي مع PKCE، المرتبط بالمتصفح الذي بدأ العملية. نستلم عنوان بريدك الإلكتروني واسمك ومعرّف حسابك لدى تلك الخدمة — ولا شيء غير ذلك. لا نحتفظ بأي رمز وصول من GitHub أو Google، ولا يمكننا قراءة مستودعاتك أو بريدك أو ملفاتك. يرتبط حساب GitHub أو Google بحساب Brethof قائم فقط عندما تكون تلك الخدمة قد تحققت من عنوان البريد الإلكتروني ونحن كذلك، أو عندما لا يكون للحساب كلمة مرور بعد.

الحماية من عملائك الخاصين

هذا هو الجانب الذي لا تأخذه معظم الخدمات في الاعتبار. يتم التعامل مع ذاكرتك باستمرار من قبل وكلاء الذكاء الاصطناعي — وقد يرتكب أحد الوكلاء خطأً، أو يتلقى تعليمات خبيثة مخفية داخل المحتوى الذي طُلب منه قراءته، أو يمحو شيئًا خاطئًا قبل ساعات من أن يلاحظ الإنسان ذلك.

لذلك فإن أرشيف المحادثات الخام خارج نطاق وصولهم عمدًا. لا يمكن لأي وكيل حذف رسالة واحدة. ولا يمكن لأي وكيل لمس الأشهر الثلاثة الأخيرة على الإطلاق. لا يمكن إزالة التاريخ الأقدم إلا بشكل جماعي، لكل مشروع. حذف مشروع بأكمله — الإجراء الوحيد الذي يمس الأرشيف بالكامل — غير متاح للوكلاء في أي خطة؛ بل يتم في لوحة الحساب، حيث يكتب شخصٌ بشري اسم المشروع.

السبب في أهمية ذلك بسيط: الذاكرة المُنتقاة مشتقة، بينما الأرشيف هو الأصل. كل ما يضيع نتيجة تعديل خاطئ يمكن إعادة بناؤه من التاريخ. لكن لا شيء يمكنه إعادة بناء التاريخ نفسه.

التشفير والنسخ الاحتياطي ومكان تخزين بياناتك

ذاكرتك حاوية واحدة لكل عميل — قاعدة بيانات خاصة بها، ونظام ملفات خاص بها، ومستخدم Linux خاص بها، ولا شيء مشترك. إذا اخترت الشكل المحلي، تعمل تلك الحاوية على جهازك: تُخزَّن ذاكرتك لديك ولا نخزن أي جزء منها. ما يمر عبر مركزنا — نسختنا للحوسبة الآمنة في زيورخ، سويسرا — هو المحتوى قيد المعالجة: كل تبادل، وأجزاء الذاكرة التي ترسلها حاويتك عند الحاجة إلى حكم أو عند إعداد ملخص جلسة. يسرد القسم 4 من سياسة الخصوصية هذه الأجزاء بدقة. لا يُحتفظ بأي منها.

ما هو البرنامج الموجود على جهازك

تحتوي الحاوية على ذاكرتك، والبحث فيها، والآليات التي تحفظ صحتهما. لا تحتوي على أي توجيه، ولا على أي وصول إلى نموذج ذكاء اصطناعي، ولا على أي إعداد يوجهها نحو نموذج. لا يوجد فيها ما يمكنه الحكم على ذاكرتك، ولا ما يمكن ضبطه ليجعلها تحاول ذلك. كل حكم يُطلب من مركزنا عبر اتصال تفتحه حاويتك صادرًا وتصادق عليه — نحن لا نتصل بها أبدًا.

هذا الشكل هو ما يجعل حركة البيانات قابلة للتدقيق، وقد صُممت لتدقيقها: التبادلات تصعد، والأجزاء المذكورة تصعد، والأوامر والصفوف تنزل. العميل مفتوح المصدر للقراءة — اقرأ كل سطر فيه.

شيء واحد يبقى كليًا على جانبك: البحث في ذاكرتك الخاصة — السجلات، والتاريخ الكامل وخطوط قراره المؤرخة — يجري كقراءة عادية على جداولك الخاصة، داخل حاويتك الخاصة. يعمل حتى مع تعذّر الوصول إلى مركزنا، ولا يرسل شيئًا للحكم.

في الشكل المستضاف، تُشفَّر حركة المرور أثناء النقل باستخدام TLS، وأثناء السكون يُشفَّر نظام الملفات الكامل لحاويتك — كل محادثة، وكل سجل، وقاعدة البيانات نفسها — بمفتاح مشتق من عبارة مرور لا يملكها سواك. نحن لا نراها ولا نخزنها أبدًا: تمر عند بدء جلستك، وتفتح ذاكرتك، وتقفل الذاكرة نفسها من جديد بعد مغادرتك. الحاوية المقفلة نص مشفر للجميع، بمن فيهم نحن — القرص المسروق أو الصورة المتسربة أو القرص المتقاعد مجرد ضجيج، وكذلك صلاحية الجذر لدينا أثناء غيابك.

الحذف تشفيري

محوك ليس مسحًا متفائلًا عبر وحدة التخزين: تُدمَّر حاويتك المشفرة بالكامل — ولأن حذف النص المشفر لا يحتاج إلى مفتاح، فإن هذا ينجح حتى لو نسيت عبارة المرور. ما تبقى من نسخ احتياطية لا يُقرأ بدونها، ويُمحى مع دورة سلم النسخ الاحتياطي، خلال 30 يومًا على الأكثر. لا توجد نسخة نستطيع استعادتها.

ما لا يغطيه التشفير

حدود صادقة. التشفير أثناء السكون هو ذلك بالضبط — أثناء السكون: بينما ذاكرتك مفتوحة لجلسة ما، تعمل الحاوية بالضرورة على بياناتك غير المشفرة لخدمة عمليات البحث، لذا فإن عبارة «لا نطلع على بياناتك أبدًا» هي سياستنا وضوابط الوصول لدينا، وليست استحالة رياضية — الضمان الرياضي تحصل عليه كلما كانت الحاوية مقفلة. نفضّل أن نخبرك أين الحد بدلًا من أن تفترض أنه لا وجود له.

النسخ الاحتياطية للحاويات المستضافة هي سحب لـنظام الملفات المشفر نفسه — نص مشفر قبل مغادرته الجهاز، لا يُقرأ بدون عبارة مرورك — تُحفظ في ألمانيا على سلم متجدد قصير من نسخ يومية وأسبوعية. عند حذف حساب، تُحذف نسخه الاحتياطية معه، وتُمحى أي نسخ متبقية خلال 30 يومًا.

تُخزَّن الذاكرة المستضافة وتُفهرَس ويُبحث فيها بالكامل داخل الاتحاد الأوروبي — خوادمنا ونسخنا الاحتياطية في ألمانيا. تُحسب تمثيلات البحث على أجهزتنا الخاصة ولا تغادرها أبدًا. الذاكرة المحلية لا تصل إلى أي من هذا أبدًا: فهي على قرصك، تحت أي حماية تمنحها لقرصك.

الاستثناء الوحيد هو التنقيح بواسطة الذكاء الاصطناعي. تتم معالجة كل نص يخضع للتنقيح على خوادمنا الآمنة في زيورخ، سويسرا — وهي دولة تعتبرها الاتحاد الأوروبي توفر مستوى كافيًا من حماية البيانات — ومن هناك يُرسل تمرير واحد للنموذج إلى Ollama، التي تستضيف هذا النموذج في الولايات المتحدة وأوروبا، حيث تتم معالجته ثم إرجاعه. تنص شروط Ollama المنشورة على أن المدخلات والمخرجات تتم معالجتها بشكل مؤقت ولا تُستخدم أبدًا في تدريب النماذج — هذا التزام منهم، بكلماتهم هم، ونحن نذكره كالتزام منهم وليس كوعد منا. لا يغادر الاتحاد الأوروبي أي شيء آخر. وإذا كنت تحتاج إلى ضمان عدم مغادرة التنقيح للاتحاد الأوروبي أيضًا، فهذا متاح عبر نشر مخصص — اسألنا عنه. تُدرج كل جهة معالجة فرعية، مع الغرض منها وموقعها، في سياسة الخصوصية.

كيف نعمل

أقل صلاحيات ممكنة، كإعداد افتراضي

يعمل الخدمة كمستخدم غير ممنوح صلاحيات خاصة داخل حاويته، وليس أبدًا كمستخدم ذو صلاحيات عالية. لا يمتلك دور قاعدة البيانات الخاص بها صلاحيات المسؤول الأعلى، ولا يمكنه قراءة الملفات من الخادم المضيف. يتم التحقق من ذلك تلقائيًا قبل كل إصدار، بدلاً من افتراضه.

النقاط النهائية الداخلية مقفلة عند الحافة.

النقاط الطرفية التي تقوم بإنشاء الحسابات والتحقق من المفاتيح يمكن الوصول إليها فقط عبر منصة التحكم الخاصة بنا، حيث يتم التحقق من الهوية عند حافة الشبكة قبل وصول أي طلب، ثم مرة أخرى باستخدام سر مشترك. قفلان، وليس واحدًا.

فشل مغلق

عندما يكون هناك شيء مفقود أو غير قابل للقراءة، فإن الخدمة ترفض الطلب بدلاً من التخمين. كما يتم رفض المفاتيح التي لا يمكن التحقق منها. والصلاحيات التالفة لا تمنح أي شيء. أما سر التوقيع الخاص بـ webhook الذي يفتقر إلى البيانات اللازمة، فيرفض كل الأحداث بدلاً من الوثوق بما يصل. هذا موقف متعمد: يجب أن يكون نمط الفشل في خدمة الذاكرة هو "لا يوجد رد"، وليس "رد العميل الخطأ".

كل إصدار يتم التحقق منه من الخارج.

قبل إطلاق أي إصدار، يقوم نظام آلي بفحص المنتج بالكامل من حساب جديد تمامًا عبر اتصال شبكة حقيقي: التسجيل، إصدار المفاتيح وإلغاؤها، تخزين الذاكرة واسترجاعها، العزل بين حسابين نشطين، تصدير البيانات، والمسح الكامل. إما أن ينجح الفحص بالكامل أو لا يتم الإصدار.

الإبلاغ عن مشكلة أمنية

إذا كنت تعتقد أنك وجدت ثغرة أمنية، يرجى إخبارنا قبل أن تخبر أي شخص آخر، وسنتعاون معك. تفاصيل الاتصال منشورة على /.well-known/security.txt أو اكتب إلى hello@Brethof.ai. نحن لا نهدد الباحثين الذين يقدمون تقارير بنية حسنة.

المتطلبات الأعمق — مثل اتفاقية معالجة البيانات، أو نشر مخصص في منطقة تختارها، أو إبقاء التنظيم داخل الاتحاد الأوروبي — هي أمور نتعامل معها مباشرة. اسأل.