شبكة الثقة

من ينشر البرنامج: ناشر موثَّق عبر النطاق (سجل DNS من نوع TXT) أو بريد الشركة أو مراجعة الفريق، ومطالبة المطوّر بملكية الصفحة.

الفحوص

• ناشر موثَّق مطلوب سجل الناشر موثَّق (سجل DNS للنطاق، ملف على الموقع، بريد الشركة، توقيع الشيفرة، مستودع رسمي أو مراجعة الفريق).
• النطاق أو بريد الشركة داعم أثبت الناشر سيطرته على نطاق موقعه بسجل DNS من نوع TXT أو برابط أُرسل إلى عنوان على ذلك النطاق.
• مطالبة الملكية داعم أثبت المطوّر الذي يدير هذه الصفحة ملكيته (DNS، ملف على الموقع، وسم meta، ملف في المستودع أو مراجعة الفريق)، وتُعاد الإثباتات الآلية شهريًا.

من أين تأتي الملفات: روابط تنزيل على النطاقات الرسمية للناشر أو على مضيفين موثوقين لدى الإدارة، ونتائج سلامة الروابط من فاحص الروابط (التحويلات، الروابط المختصرة، النطاقات المقلِّدة، HTTPS).

الفحوص

• مضيفو التنزيل الرسميون مطلوب كل رابط تنزيل (بعد التحويلات) يقع على نطاق الصفحة الرئيسية أو نطاق الناشر، أو على مضيف تثق به المنصة (مثل إصدارات GitHub).
• سلامة الروابط مطلوب لم يجد فاحص الروابط روابط مختصرة ولا نطاقات مقلِّدة أو مختلطة الحروف ولا بيانات دخول في الرابط ولا وجهات غير رسمية.
• تنزيل عبر HTTPS داعم كل روابط التنزيل تستخدم HTTPS.

هل الملفات هي نفسها التي أصدرها الناشر: قيم تحقق ينشرها الناشر، والتحقق من التوقيع الرقمي، وملفات لا يمكن استبدالها بعد الموافقة وتُراقَب على رابطها الرسمي.

الفحوص

• قيم تحقق من الناشر مطلوب لكل ملف قيمة SHA-256 نشرها الناشر (ملف تعريف الحزمة أو قائمة قيم المورّد) دون تعارض مع قائمة القيم.
• ملفات ثابتة ومراقَبة مطلوب ملفات الإصدار الذي تمت الموافقة عليه لا يمكن استبدالها، ومراقب السلامة يأخذ بصمتها كل ساعة على رابطها الرسمي دون تغيير لم يُراجَع.
• التوقيع الرقمي داعم تم التحقق من توقيع Authenticode أو توقيع PGP منفصل أو قائمة قيم المورّد على عامل الفحص المعزول.

الثغرات المعروفة في أحدث إصدار وسرعة صدور الإصلاحات، وهل ما زال الإصدار مدعومًا (بيانات نهاية الدعم)، ومدى انتظام الإصدارات الجديدة.

الفحوص

• الثغرات المفتوحة مطلوب لا توجد ثغرة معروفة تؤثر في أحدث إصدار وفق المصادر المهيأة (OSV، NVD، CISA KEV).
• انتظام التحديث مطلوب أحدث إصدار حديث مقارنةً بسجل إصدارات البرنامج نفسه.
• إصدار مدعوم داعم أحدث إصدار ينتمي إلى دورة إصدار يدرجها موقع endoflife.date على أنها مدعومة.
• مدة الإصلاح داعم وسيط الأيام بين نشر الثغرة وأول إصدار يصلحها.

متى أعادت المنصة آخر مرة فحص الملفات (مراقب السلامة) وروابط التنزيل (فاحص الروابط) ومصادر الثغرات (OSV، NVD، CISA KEV).

الفحوص

• مراقبة السلامة مطلوب فحص مراقب السلامة كل ملف قابل للتنزيل مؤخرًا.
• مراقبة الروابط مطلوب فحص فاحص الروابط كل رابط تنزيل مؤخرًا.
• مراقبة الثغرات مطلوب يوجد مصدر ثغرات مهيأ لهذا البرنامج، وتمت مزامنته مؤخرًا دون خطأ يخصّه.

نوافذ المراقبة بالأيام: حديث = خلال 2، قديم = أقدم من 14.