صفحة سياسة الأمن ليست عملية إفصاح

لكل مشروع جاد صفحة أمن، والصفحة رخيصة. السؤال المفيد هو ما إذا كان تقرير يُرسل عبر القناة الموثقة يُنتج إصدارًا مصححًا يستطيع المستخدمون العاديون تثبيته. هذا يتطلب أربعة أدلة بدلًا من ادعاء واحد، وكلها قابلة للتحقق من الخارج دون فحص أي شيء. لا يتطلب أي منها اختبارًا ضد خادم شخص آخر. وكلها تتسع في صفحة واحدة من الملاحظات.

اعثر على القناة وتحقق من وجودها

ابدأ بالمسار الموثق: صفحة سياسة أمن، أو عنوان مخصص، أو ملف /.well-known/security.txt يُعرَّف حقل Contact فيه بواسطة RFC 9116.

ثم اقرأ فقرة النطاق بدلًا من المقدمة الودودة. ما المنتجات المشمولة، وما الإصدارات، وما المعالجة التي يطلبها المشروع؟

القناة التي تنتمي إلى مشروع آخر، أو إلى مزود استضافة بدلًا من المشرف، ليست عملية إفصاح عن البرنامج الذي تقيّمه.

متتبع عام أم قناة خاصة

العيوب العادية مكانها المتتبع العام وتستفيد منه. أما التقرير الذي يحتوي على تفصيل قابل للاستغلال فلا، ونشره علنًا يعرّض المستخدمين للخطر بينما المشرف لا يزال يقرأه.

المشروع الذي يقدم متتبعًا عامًا فقط لم يوفر قناة إفصاح، مهما قال توثيقه.

لا شيء من هذا يصرح باختبار أنظمة لا تملكها. عنوان الإبلاغ دعوة لإرسال معلومات، وليس إذنًا بفحص خوادم عامة غير ذات صلة.

تتبّع إصلاحًا واحدًا من البداية إلى النهاية

اختر تنبيهًا سابقًا وتتبّعه: هل يسمّي الإصدارات المتأثرة والإصدار الذي يصلحها، وهل يستطيع المستخدم تثبيت ذلك الإصدار فعلًا؟

هذا الأثر هو الفرق بين إقرار وإصلاح. الرد المهذب الذي لا يُنتج إصدارًا أبدًا نتيجة علاقات عامة. والتنبيه المقتضب الذي يحمل رقم إصدار ورابط تنزيل عملية عاملة. والتنبيه الجيد يجيب عن أربعة أشياء بسرعة: ما المتأثر، وما الأثر، وأي إصدار يصلحه، ومن أين الحصول عليه.

تاريخ الإصدارات يملأ الباقي. الإصدارات المنتظمة بملاحظات واضحة تدل على مشروع قادر على شحن إصلاح، وهذا أهم من سياسة بليغة.

مشرف العميل أم مشغّل الخدمة

بالنسبة إلى VPN، غالبًا ما يكون من يكتبون العميل ومن يشغّلون بوابة مؤسستين مختلفتين. مشكلة في كود العميل وخطأ في نشر الخادم يحتاجان إلى مستلمين مختلفين.

حدد أي الأمرين يتعلق به ما وجدته قبل أن ترسله، لأن توجيهه إلى الطرف الخطأ ينتهي عادة بالصمت بدلًا من الارتداد.

ما يثبته الغياب، وما لا يثبته

قائمة تنبيهات فارغة لا تثبت أن منتجًا خالٍ من العيوب. قد تعني مشروعًا حديثًا، أو سطحًا صغيرًا، أو أن لا أحد ينظر.

كذلك صفحة السياسة الغائبة ليست دليلًا على سوء نية. إنها دليل على أنك لا تستطيع التحقق من العملية، وهذا هو الاستنتاج الصادق الذي ينبغي تسجيله.

ما ينبغي تدوينه

سجّل أربع حقائق: اتصال يمكنك التحقق منه، ونطاق يغطي إصدارك، وتنبيهات تسمّي الإصدارات المصلحة، وتاريخ إصدارات يبيّن أن الإصلاحات تُشحن.

ثم دوّن ما يبقى مجهولًا. المراجعة التي تقول ذلك أنفع من مراجعة تحوّل سياسة غائبة إلى ادعاء أمني.