1. الضمانة الأساسية
بُني Moments حول وعدٍ واحد: لا تخزّن خوادمنا سوى بيانات مُشفَّرة، ولا تحتفظ أبدًا بمفتاح قادر على فك قفل محتواك. فكل صورة وفيديو وتعليق توضيحي وتعليق وتفاعل يُشفَّر على جهازك قبل أن يغادره، ولا يمكن فك تشفيره إلا على أجهزة الأشخاص الذين اخترتهم أنت.
والنتيجة واضحة لا لبس فيها: أي اختراق كامل لأنظمتنا سيكشف من يشارك مع من، ومتى، وكم — ولكن لا شيء من المحتوى إطلاقًا. فلا توجد واجهة إدارية لعرض صورك، ولا أداة دعم فني يمكنها فتح لحظة، ولا شيء قابل للاستخدام يمكن تسليمه استجابةً لأي مطالبة قانونية بالمحتوى.
لا ترى خوادمنا أي لحظة بصيغة مقروءة ولا تخزّنها ولا تعالجها أبدًا. فكل عمليات التشفير وفك التشفير تجري داخل التطبيقات، على أجهزة عائلتك.
2. مبادئ التصميم
- الخادم غير مؤتمن على محتواك أبدًا. فهو يخزّن بيانات مقفلة ويفرض من يجوز له جلب ماذا — ولا يستطيع أبدًا قراءة لحظاتك أو إنشاء المفاتيح.
- الوصول تشفير، لا خانات اختيار. حيثما أمكن، فإن «هذا الشخص لا يستطيع رؤية هذا» تعني أنه لا يحمل أي مفتاح يفتحه — لا أن إعدادًا يقول «لا».
- الإغلاق عند الفشل. متى وُجد أي شك في أن مفتاحًا ما لا يزال آمن الاستخدام، يرفض التطبيق النشر حتى يُحسم ذلك — فهو لا يخاطر نيابةً عنك أبدًا.
- أرشيف، لا محادثة. إن Moments سجلٌّ عائلي دائم: يجب أن يبقى المحتوى قابلًا للقراءة لعقود وأن يكون قابلًا للاسترداد على الأجهزة الجديدة. وقد صُمم تشفيرنا للديمومة، لا للرسائل الزائلة.
- الصراحة بشأن الحدود. حيثما قبلنا مقايضةً ما (وكل نظام حقيقي فيه مقايضات)، فهي مدوَّنة في هذه الوثيقة، لا مخفيّة.
3. كيف تُحمى لحظاتك
- مُشفَّرة قبل الرفع. تُشفَّر كل لحظة على جهازك باستخدام تشفير قياسي في الصناعة خضع لتدقيق واسع — من عائلة AES-256 نفسها الموثوقة لبيانات المصارف والحكومات. ولا شيفرات مبتكرة ذاتيًا في أي موضع.
- المفاتيح تبقى مع عائلتك. المفاتيح التي تفتح لحظاتك لا توجد إلا على أجهزة عائلتك. أما ما تحتفظ به خوادمنا فصناديق مقفلة لا تستطيع فتحها.
- كل لحظة مختومة على حدة. تُحمى كل لحظة على نحو منفرد، بحيث يبقى الانكشاف، حتى في أسوأ الحالات تصوّرًا، محصورًا في لحظة واحدة — لا في دفتر يومياتك كله أبدًا.
- العبث يُكتشف. جميع البيانات المخزَّنة مُوثَّقة تشفيريًا: فأي شيء عُدِّل أو بُتر أو رُكِّب يُكتشف ويُرفض بدلًا من عرضه بصمت.
4. من يستطيع رؤية ماذا
المساحة بالدعوة فقط، والدعوة هي الباب الوحيد. ومن هناك، يُفرض الوصول بالتشفير لا بالإعدادات:
- إزالة عضو تزيله فعلًا. فمن لحظة إزالة شخصٍ ما، تُختم اللحظات الجديدة بمفاتيح جديدة لا يتلقاها أبدًا. وحتى لو حصل بطريقة ما على البيانات المخزَّنة، فلن يُفتح له أي شيء جديد أبدًا.
- «من الآن فصاعدًا فقط» تعني ما تقول. العضو المدعو دون سجل لا يستطيع قراءة اللحظات السابقة — بل إن خوادمنا لا تسلّمه تلك اللحظات أصلًا، فلا يستطيع معرفة كم عددها ولا متى نُشرت ولا من نشرها.
- جماهير المجموعات جدران حقيقية. قصر لحظةٍ على «الأجداد فقط» ليس علامة إظهار وإخفاء: فأعضاء تلك المجموعة وحدهم هم من يتلقون مفتاحها. وبالنسبة لأي شخص آخر، فكأن اللحظة غير موجودة — فهي غائبة، لا مخفية.
- المشرفون يحتفظون بمسؤولية الرعاية. يحتفظ مشرفو المساحة دائمًا بالإشراف على المساحة التي هم مسؤولون عنها، بما في ذلك اللحظات المقيَّدة.
5. الصور ومقاطع الفيديو ووسم «آمن»
- الوسائط مُشفَّرة مثل كل شيء آخر. تُشفَّر الصور ومقاطع الفيديو — حتى الطويلة منها — على جهازك قبل الرفع، وتُخزَّن بصيغة تكشف العبث: فقصّ الملف المخزَّن أو إعادة ترتيبه أو تركيبه يُكتشف.
- مقاطع الفيديو لا توجد أبدًا دون حماية على القرص. تُشغَّل مقاطع الفيديو فورًا مع بقائها مُشفَّرة أثناء التخزين؛ ولا يُفك تشفيرها إلا في الذاكرة على جهاز المشاهد، ولا تُكتب أبدًا كملف قابل للتشغيل.
- وسم «آمن». اللحظة الموسومة بـ«آمن» لا يستطيع المشاهدون حفظها أو مشاركتها أو تنزيلها، ولا توجد وسائطها أبدًا غير مُشفَّرة على وحدة تخزين جهاز المشاهد.
- التقاط الشاشة محجوب على مستوى التطبيق بأكمله. على Android تُرفض لقطات الشاشة وتظهر التسجيلات فارغة. وعلى Windows يظهر التطبيق أسود في اللقطات ومشاركات الشاشة. وعلى iOS نستخدم الحماية نفسها المعتمَدة في عموم الصناعة — مع تنبيه صريح: لا يوفر iOS طريقة رسمية لحجب الالتقاط، فإذا عطّله تحديث مستقبلي لـ iOS، فسيفقد التطبيق الحجب فحسب بدلًا من المخاطرة بظهور صورك فارغة. ونحن نتحقق من ذلك في كل إصدار من iOS.
ما لا يستطيع أي تطبيق منعه: جهاز مكسور الحماية (روت أو جيلبريك) يستطيع قراءة شاشته بنفسه، ولا شيء يمنع هاتفًا ثانيًا من تصوير شاشة الهاتف الأول. يرفع وسم «آمن» مستوى الحماية رفعًا حقيقيًا؛ لكنه لا يلغي قوانين الفيزياء، ولن ندّعي غير ذلك.
6. أجهزتك والاسترداد
- الجهاز الجديد يجب أن يُوافَق عليه. لا يستطيع هاتف جديد أن يسجّل الدخول ببساطة ويقرأ مساحاتك. فيجب أن يوافق عليه أحد أجهزتك القائمة، مع عرض الشاشتين رمز تحقق متطابقًا — ما يعني أيضًا أن لا أحد، ولا حتى خوادمنا نفسها، يستطيع دسّ جهاز منتحل في حسابك.
- فقدان كل شيء قرار بشري، لا تلقائي. من يفقد جميع أجهزته يبدأ من جديد دون محتوى. ويجب أن يؤكد مشرف المساحة شخصيًا استعادة وصوله — فاستعادة الدخول بعد الفقدان الكامل تُعامل معاملة قبول العضو من جديد.
- المالكون يحملون عبارة استرداد. يحتفظ مالكو المساحات بعبارة استرداد من 12 كلمة تستطيع استعادة مساحاتهم دون أي جهاز باقٍ على الإطلاق. ويتحقق التطبيق من أنك حفظتها فعلًا قبل الاعتماد عليها، ونحن لا نراها أبدًا.
لا يوجد إيداع للمفاتيح. فنحن لا نحتفظ أبدًا بعبارة الاسترداد الخاصة بك ولا بأي مفتاح مشتق منها. وإذا فقد المالك أجهزته وعبارته معًا، فلن نستطيع استعادة محتواه — وهذا هو الثمن الصادق لنظام لا نستطيع نحن أيضًا قراءته.
7. تسجيل الدخول
- لا كلمات مرور في أي موضع. تسجّل الدخول برابط يُستخدم لمرة واحدة يُرسل إلى بريدك الإلكتروني. تنتهي صلاحية الروابط خلال دقائق وتعمل مرة واحدة بالضبط — فلا شيء يمكن إعادة استخدامه أو اصطياده احتياليًا أو تسريبه في اختراق.
- الجلسات قصيرة العمر وتتجدد تلقائيًا. تسجيل الخروج ينهي الجلسة على خوادمنا، لا على جهازك فقط.
- تسجيل الدخول ليس هو القراءة. فحتى من يسيطر على بريدك الإلكتروني لن يستطيع سوى تسجيل الدخول بهويتك — ولن يستطيع فك تشفير أي شيء، لأن جهازه سيظل بحاجة إلى موافقة من أحد أجهزتك.
8. الترجمة والتشفير
تكتب العائلات بلغات مختلفة، ويستطيع Moments ترجمة المنشورات والتعليقات إلى لغة كل قارئ. وحيثما تسمح المنصة، يجري ذلك الآن على الجهاز نفسه؛ أما الترجمة بالذكاء الاصطناعي السحابي فهي الاستثناء المشروط بالموافقة، لا القاعدة:
- الترجمة على الجهاز (على أندرويد اليوم) تترجم محليًا بعد تنزيل صغير للغة لمرة واحدة. فلا يغادر النص غلاف التشفير التام بين الطرفين أبدًا، ولا يشارك أي طرف ثالث.
- الترجمة بالذكاء الاصطناعي السحابي تغطي المنصات التي لا تملك محرك ترجمة على الجهاز بعد، إضافة إلى خطوة «تحسين بالذكاء الاصطناعي» الاختيارية على أي نتيجة مُترجَمة على الجهاز. يفك جهازك تشفير النص محليًا، وعندها فقط يمرّره، عبر اتصال مُشفَّر يمر بخوادمنا، إلى خدمة ترجمة بالذكاء الاصطناعي تابعة لطرف ثالث. ونحن لا نسجّل النص ولا نخزّنه أبدًا، ولا يُستخدم في تدريب النماذج.
- تُحفظ الترجمات على جهازك فقط، محميةً أثناء التخزين، وتُمحى عند تسجيل الخروج.
- حتى ما اللغات التي تتحدثها عائلتك ليس شيئًا تستطيع خوادمنا قراءته.
المقايضة الصادقة: طوال مدة نداء الترجمة بالذكاء الاصطناعي السحابي، يغادر النص غلاف التشفير التام بين الطرفين — فيكون مقروءًا أثناء عبوره إلينا وإلى مزوّد الذكاء الاصطناعي. ولذلك فإن الترجمة السحابية اختيارية تمامًا وقائمة على الموافقة: فلا يُرسَل أي شيء إلى السحابة إلا عندما تطلب ذلك، ولا قبل مربع حوار موافقة يشرح هذا بالضبط. أما الترجمة على الجهاز فلا تحمل هذه المقايضة — فالنص لا يغادر جهازك أبدًا — ونحن نجلبها إلى مزيد من المنصات؛ انظر القسم 10.
9. الحدود التي نصارحكم بها
محميّ ضد
- اختراق كامل لخوادمنا أو تخزيننا — فمحتواك مُشفَّر من أوله إلى آخره.
- مستضيف فضولي أو مُكرَه قانونيًا: فلا محتوى يُرى ولا مفتاح قابل للاستخدام يُسلَّم.
- عضو مُزال يقرأ اللحظات المستقبلية، حتى مع وصوله إلى البيانات المخزَّنة.
- عضو دُعي دون سجل يصل إلى اللحظات السابقة — أو حتى يعلم بوجودها.
- العبث بالمحتوى أو الوسائط المخزَّنة — فالتعديلات تُكتشف وتُرفض.
- اختراقات على غرار تسريبات قواعد كلمات المرور — فلا وجود لكلمات مرور.
مقايضات مقبولة، مدوَّنة رسميًا
- متى وقعت اللحظة مرئي لخوادمنا. وهي المقايضة المتعمَّدة التي تشغّل مرشّح العمر والخط الزمني. أما تاريخ ميلاد طفلك فيبقى مُشفَّرًا، فلا يتحول تاريخ أبدًا إلى عمر في أي مكان سوى أجهزة عائلتك.
- التعليقات المضافة إلى لحظات قديمة. يمكن لعضو مُزال احتفظ بجهازه — فقط إذا اختُرقت بياناتنا المخزَّنة أيضًا — قراءة التعليقات المضافة لاحقًا إلى لحظات كانت لديه أصلًا. ترفضهم خوادمنا لحظة انتهاء عضويتهم؛ وهذا الاستثناء يتطلب اختراقًا فوق ذلك.
- وسم «آمن» نفسه مرئي — إذ يجب أن يعرف التطبيق أن اللحظة آمنة قبل فك قفلها. وهو يكشف تلك الحقيقة الواحدة بالضبط ولا شيء من المحتوى.
- نص الترجمة بالذكاء الاصطناعي السحابي يعبر بصيغة مقروءة أثناء النداء — بشكل اختياري ومُفصح عنه (القسم 8)؛ أما الترجمة على الجهاز فلا تتأثر.
غير محميّ ضد
- جهاز عضو مخترَق. فالجهاز القادر على عرض صورة لك يحمل بالضرورة ما يلزمه لفك تشفيرها. وهذا ملازم لكل نظام مُشفَّر تشفيرًا تامًا بين الطرفين.
- البيانات الوصفية. من يشارك مع من، ومتى، وكم مرة، وكم من البيانات — مرئية لخوادمنا كما في جميع الأنظمة العملية فعليًا.
- كاميرا ثانية موجَّهة نحو شاشة.
10. ما القادم
- الترجمة على الجهاز على مزيد من المنصات — أُنجزت على أندرويد، حيث لا يغادر النص الغلاف المُشفَّر أبدًا؛ ونحن نجلب الترجمة المحلية نفسها إلى بقية منصاتنا، لتزول المقايضة الموصوفة في القسم 8 في كل مكان.
- مواصلة التحصين — نواصل تعزيز كيفية تحقق الأجهزة والمفاتيح بعضها من بعض، ونراجع هذه الحمايات مع كل إصدار من إصدارات المنصات.
تُحدَّث هذه الورقة البيضاء كلما تغيّرت البنية. وإذا كنت تعتقد أنك عثرت على ثغرة أمنية في Moments، فنحن نرغب في سماع ذلك منك: security@momentsapp.eu.