# مراجعة الأمان

## الضوابط المطبقة

- كلمات مرور مجزأة، CSRF، ORM/ربط معاملات، وهروب Blade للحد من XSS وSQL Injection.
- RBAC تفصيلي ونطاق مؤسسة وفروع، مع إخفاء تكلفة المخزون في API دون قدرة صريحة.
- 2FA وفق TOTP مع رموز استرداد أحادية الاستخدام وأجهزة موثوقة قابلة للإلغاء.
- تحديد محاولات الدخول، سجل نجاح وفشل وحظر و2FA، تنبيه جهاز جديد، مهلة خمول، وقيود IP.
- رموز API مخزنة كبصمة SHA-256 مع قدرات وIP وانتهاء وإلغاء؛ Webhooks موقعة HMAC ومضادة للتكرار.
- مستندات خاصة وتنزيل مصرح، بيانات تكامل مشفرة، ونسخ مشفرة ذات checksum.
- معاملات وقفل صفوف للعمليات المالية والمخزنية، وعكس بدلاً من حذف السجلات المالية.
- سجل تدقيق للطباعة والتصدير والقرارات والإعدادات والعمليات الحساسة.

## فحوص دورية

- تحديث PHP/Laravel والحزم شهرياً بعد الاختبارات.
- مراجعة الصلاحيات والرموز والأجهزة والتنبيهات أسبوعياً.
- تدوير أسرار Webhook والبريد والتخزين وفق سياسة المؤسسة.
- اختبار استعادة شهري، وفحص وصول الملفات وتجزئة النسخة.
- إبقاء `APP_DEBUG=false` وعدم تسجيل الأسرار أو رموز الاسترداد.

## مخاطر تشغيلية متبقية

أمان البريد وSMS/WhatsApp وS3 يعتمد على إعداد المزود. يجب استخدام TLS، حسابات خدمة محدودة، وسياسة تدوير مفاتيح خارج النظام.
